常见的越权访问问题 描述：操作资源（CURD）时没有验证当前用户是否有权限操作当前资源。 例子：修改一篇博文时只验证用户在登录状态，根据博文 id 更新博文。 分险：任何人登录后可以修改任意博文，只需要猜到博文 id。 原因：用户私有数据会忽略鉴权
