Phân quyền ở mức hàm (API5)

BOLA (API1) là "được đọc bản ghi này không". BFLA (API5) là "được gọi hàm này không" — và nó là lỗi dễ bỏ sót hơn, vì nó thường nằm ở endpoint mà giao diện chưa bao giờ gọi tới.

Cơ chế điển hình, và nó lặp lại ở mọi sản phẩm:

1. Có một endpoint DELETE /api/users/{id} cho trang quản trị.
2. UI chỉ hiện nút Delete khi người dùng có vai admin. Về mặt sản phẩm, thế là xong.
3. Không ai kiểm endpoint đó, vì "không ai gọi được nó".
4. Swagger ở production liệt kê nó, kèm cả schema.

Điểm cần nói thẳng: UI không phải một biện pháp bảo mật. Nó là một gợi ý về ý định. Không hiện nút không ngăn được một request; nó chỉ ngăn một người dùng tình cờ gửi request đó.

Ba biến thể hay gặp, xếp theo thứ tự tôi thấy nhiều nhất trong code thật:

Vì sao đếm bằng mắt không đủ: một API cỡ trung có 200–400 cặp route × method. Con người đọc hết một lần thì bỏ sót, và đọc lại mỗi sprint thì không ai làm. Cách duy nhất bền là mặc định từ chối — xem bước vá.