Embed Notice

@mamemomonga 「APIの認証がかかってなかった」と言い切れないだけで、実は本当にAPIの認証がかかってなかったことも考えられはしますが、一方で、「（ログインしているユーザー以外のデータであっても）全ての（ユーザーのデータを引っ張ってこれる）クエリに答えるようになっていた」ことも考えられます。

たとえば`/api/v1/:uid/matchingapplist?format=json`というAPI（`:uid`は利用者のID）でインストールされているマッチングアプリの一覧が取得できるとします。

まめもさんがuid=10000、h12oがuid=10001だとして、まめもさんがまめもさんとして認証された状態で、それに紐づいたBearerトークンを使って、`/api/v1/10001/matchingapplist?format=json`にクエリを出して、h12oのmatchingapplistが取れてしまったら、これは認可制御の不備ということになります。