越權漏洞一般來說分為兩類：

l 水平越權

l 垂直越權

垂直越權呢，就是低許可權使用者實現了高許可權使用者的功能。比如普通使用者透過越權登入到了管理員頁面，實現管理員才能的操作。

常出現的位置在後臺功能的展示當中，對資料的增、刪、查、改等操作可能會有越權出現。

防護措施一般有以下兩種思路：

1、 控制引數，加密或者多因素，防止遍歷。但引數加密僅僅只能防止的是遍歷，並不能真正解決越權，還只是緩解的方式；

2、 流量監控。現在有一種防範越權和自動化掃描的方法。這個方法，在開發上不用做任何的越權防範，而且掃描器也無法進行正常網站爬行，目前也有產品推出

透過做nginx代理，獲取所有的通訊web流量，並且對http傳輸的請求、內容進行重寫、js混淆加密，對返回所有的連線、引數進行重寫，到客戶端後，流量能正常解析，瀏覽器能正常解析，依賴於瀏覽器的特性，但是掃描器卻不知道具體的連線、引數是什麼，人工檢視原始碼時也是混淆過的，發出來的請求也是加密過的，但是到了nginx代理後，會根據加密演算法進行解密，也就是web端請求資料也全加密了是吧，明文丟給後端的應用進行處理。