BOLA（壊れたオブジェクトレベル認可） とは？

アクセス許可の確認が壊れているんだよ。APIが「このIDのデータを取得して」というリクエストを受けたとき、「そのIDはあなたのものか？」を確かめずに返してしまう状態だよ。

たとえば注文APIで `GET /orders/1001` を叩いたら自分の注文が返ってきたとして、`1002` に変えたら他人の注文が見えてしまうケースだよ。数字を1つ変えるだけで個人情報が漏れるんだ。

実質同じ概念だよ。IDOR（Insecure Direct Object Reference）はWebアプリ全般の文脈で使われる古い名称で、BOLAはOWASPがAPIセキュリティ向けに整理した名称なんだ。

APIがリクエストを受け取るたびに、「リクエスト元のユーザーはこのオブジェクトにアクセスする権限を持つか？」をサーバー側で必ず確認することだよ。IDを推測されにくいUUIDにすることも対策の一つだね。

実装が複雑なAPIほど見落としやすく、しかも攻撃が簡単だからだよ。ツールなしでも数字を変えるだけで試せてしまうから、攻撃者にとってコスパが良いんだ。だから最も頻発する脆弱性として1位なんだよ。