不安全的直接對象引用漏洞預防措施有哪些

不安全的直接對象引用漏洞預防措施有以下這些：

• 避免在URL或網頁中直接引用內部文件名或數據庫關鍵字。可使用自定義的映射名稱來取代直接對象名，防止將重要的關鍵字和文件名泄露給用戶。

• 應根據最小權限原則，配置應用程序的訪問權限，應禁止訪問Web目錄之外的文件。保證使用者的權限是最小的，防止用戶越權訪問其他用戶權限，減輕越權帶來的危害。

• 任何來自不可信源的直接對象引用都必須通過訪問控制檢測，確保該用戶對請求的對象有訪問權限。如果用戶無訪問權限則對用戶的請求進行忽略，對于哪些不可信的訪問都要經過訪問控制檢測后才能使用。

• 驗證用戶輸入和URL請求，拒絕包含一些存在非法字符的請求，不要相信用戶輸入的任何請求，對用戶輸入的任何請求都要進行驗證和過濾后才能使用，這樣可以從根本上保證安全。

• 使用數據脫敏，所有鑒權問題搞定后，數據字段透出最好做到最小化，前端不需要的字段不透出，敏感字段要脫敏。防止攻擊者通過敏感數據分析出信息，然后利用漏洞進行攻擊。