Falhas do tipo CWE-1280
1 resultadoValidação de acesso implementada após o acesso ao recurso
A aplicação acessa ou processa um recurso (arquivo, dados, API) antes de validar se o usuário tem permissão para isso. Mesmo que a verificação de controle de acesso exista no código, ela vem tarde demais — o dano já foi feito. Isso expõe informações sensíveis ou permite operações não autorizadas.
Uma API de e-commerce carrega o histórico de pedidos do cliente pelo ID da URL, executa queries no banco e formata a resposta. Só depois, no final da função, verifica se o usuário logado é o dono do ID — já é tarde, os dados já foram processados e enviados.
Implemente validações de permissão no início da função, antes de qualquer acesso ou processamento do recurso. Use middleware de autorização ou guardas nas primeiras linhas do handler para rejeitar requisições não autorizadas imediatamente.