在工作中，我司最近上线了一个内部管理系统，在我拿到客户端时，就想拿到后端API，但是IT拒绝了，就想着自己把API找出来，然后使用wiredshark抓包分析一下，结果发现，后端服务的权限验证没有做二次验证，导致我拿到API后，可以随意访问后台服务。
那是一个 c/s 架构的项目, 后端不知道用的是什么，前端是用c#写的；在分析之后，发现登录是使用 get 方法，用户名、密码都直接放在路径参数里面，没有做加密，而且只是用于获取前端页面。在后续数据操作的请求中，没有发现任何权限验证的字段。
这很离谱，只能说幸亏我是个菜鸡好人，也还好，这个项目只是内部使用。
虽说我不是什么专业的程序员，但至少的安全认证什么的，还是知道在什么情况下是必要的，说实话，如果过不是自己遇到这种事情，真的很难想象在企业开发的项目中，后端服务的权限验证没有做二次验证，这么严重的安全漏洞。