指应用在检查授权时存在的漏洞，使得攻击者在获取低权限用户账号后，能利用一些绕过权限检查访问或操作其他用户的行为。
成因：开发者在编码的过程中，没有对客户端的请求进行严格的权限判定，或者权限校验不当而导致。
水平越权
例如A和B用户都属于同一种角色，拥有相同的权限。（但是他们都有自己私人的数据）
如果系统校验不足，就可能导致A用户能够访问B用户的私人数据。
垂直越权
指攻击者尝试访问比他更高权限用户的资源。
由于应用没有做好权限控制，或者仅在某些地方做了权限控制，导致低权限用户可以通过管理员页面的url或者其他敏感参数访问或控制其他高权限用户的数据。
靶场练习（水平越权）
在URL栏加入“?user_id=4”
水平越权成功！
靶场练习（垂直越权）
作为普通用户，只有查看权限，没有修改权限。
打开burpsuite，获取admin权限的请求包。
将Cookie修改为普通用户的Cookie，再次提交，发现用户创建成功，越权成功。
