Mês da trilha: Abril 2026. Coleção publicada em 12/09/2026. Os meses organizam a trilha de leitura; não são datas de publicações anteriores.
BOLA e IDOR: revise o acesso ao objeto concreto
Conhecer o identificador não é evidência de autorização.
Conteúdo produzido com assistência de IA para o site de Thiago Silva. Análise editorial independente; não representa clientes ou empregadores.
Contexto da leitura
Leitura breve de arquitetura. A referência técnica ao final apoia o tema; os cenários hipotéticos e propostas de avaliação são análise editorial, sem relato de implementação pessoal.
Fonte original ↗A decisão de arquitetura
Uma API pode reconhecer corretamente o usuário e ainda entregar um objeto de outra conta. A revisão precisa ligar a identidade ao recurso solicitado, inclusive em exportações e operações em lote.
Aplicação prática
Proposta editorial: monte um conjunto sintético com dois usuários e recursos distintos. Para cada operação, explicite a relação que permite acesso. Um identificador difícil de adivinhar não deve substituir essa decisão.
Como verificar
Repita a jornada trocando apenas o objeto e mantendo a sessão. Inclua relações indiretas, como anexos de um pedido. Registre tanto a negativa quanto a ausência de efeitos colaterais. O exercício deve demonstrar isolamento real, não apenas uma mensagem de erro na interface.