你的安全扫描全绿，可能只是它看不见！OWASP 榜首漏洞霸榜 5 年，扫描器却几乎全瞎：改一位数字就能偷走别家账单

大白话有开发者在 Dev.to 写了篇技术长文：越权漏洞（比如把账单链接里的 1043 改成 1044，就能看到别人家的账单）从 2021 年起一直排在 OWASP 十大安全风险第一位，但自动化扫描器几乎报不出来。原因很直白：请求本身完全合法，cookie 是真的、路径是真的、没有注入字符串，WAF 看着就像正常流量。扫描器只会「发请求、对特征、记结果」，而抓越权得先知道「这个资源到底归谁」，再故意越界去试，最后还要读懂返回内容算不算泄露——这三步靠特征匹配做不到。作者认为 AI 辅助测试的真正变化不是快，而是引擎能自己决定下一步试什么。

对你意味着只要你的产品有登录和多租户数据，就可能中招；做后端、做安全、做 SaaS 的都值得看一眼，别把扫描器全绿当成安全。