OWASP API Top 10: Broken Object Property Level Authorization — почему API часто возвращают больше данных, чем нужно

Скрытая опасность в каждом ответе API

Что такое Broken Object Property Level Authorization (BOPLA)

Определение

Две стороны одной медали

Почему это происходит

Почему API возвращают больше данных, чем нужно: основные причины

1. Использование DTO (Data Transfer Object) без фильтрации

```python
 ❌ Неправильно — возвращается вся модель пользователя
def get_user(user_id):
    user = User.query.get(user_id)
    return user   Возвращает все поля: id, name, email, password_hash, 
                  is_admin, created_at, updated_at, internal_notes
```

```python
 ✅ Правильно — возвращается только необходимый набор полей
def get_user(user_id):
    user = User.query.get(user_id)
    return {
        "id": user.id,
        "name": user.name,
        "email": user.email
    }
```

2. Отсутствие явной спецификации возвращаемых полей

3. Лень и спешка на этапе разработки

4. Отсутствие механизмов контроля доступа на уровне полей

Реальные примеры уязвимости BOPLA

Пример 1: Избыточное раскрытие данных в профиле пользователя

```json
{
    "id": 123,
    "name": "Иван Петров",
    "avatar_url": "https://example.com/avatars/123.jpg"
}
```

```json
{
    "id": 123,
    "name": "Иван Петров",
    "email": "ivan@example.com",
    "phone": "+7-999-123-45-67",
    "password_hash": "5e884898da28047151d0e56f8dc6292773603d0d6aabbdd62a11ef721d1542d8",
    "address": "ул. Ленина, д. 1, кв. 5",
    "passport_series": "1234",
    "passport_number": "567890",
    "bank_card_last4": "1234",
    "internal_notes": "VIP-клиент, одобрен кредитный лимит 1 000 000 руб.",
    "created_at": "2020-01-15T10:30:00Z",
    "updated_at": "2026-07-04T14:20:00Z",
    "is_admin": false
}
```

Пример 2: Mass Assignment при обновлении профиля

```json
{
    "name": "Новое имя",
    "email": "new@email.com"
}
```

```json
{
    "name": "Новое имя",
    "email": "new@email.com",
    "is_admin": true
}
```

Пример 3: Скрытые поля в списках

Последствия BOPLA для бизнеса

1. Утечка конфиденциальных данных

2. Нарушение законодательства

3. Репутационный ущерб

4. Финансовые потери

5. Использование в качестве плацдарма для дальнейших атак

Как BOPLA связана с другими уязвимостями OWASP API Top 10

Как защитить API от BOPLA: практические методы

1. Явно определяйте возвращаемые поля (DTO)

```python
from pydantic import BaseModel

class UserPublic(BaseModel):
    id: int
    name: str
    avatar_url: str | None

class UserPrivate(BaseModel):
    id: int
    name: str
    email: str
    phone: str

def get_user(user_id: int, requester: User) -> UserPublic | UserPrivate:
    user = User.query.get(user_id)
    if requester.id == user_id:
        return UserPrivate.from_orm(user)
    return UserPublic.from_orm(user)
```

2. Используйте принцип наименьших привилегий

3. Внедряйте контроль доступа на уровне свойств

4. Используйте GraphQL для точного контроля над возвращаемыми данными

```graphql
query {
    user(id: 123) {
        id
        name
        avatar_url
         email не запрашивается — не возвращается
    }
}
```

5. Валидируйте входящие данные (White-listing)

```python
ALLOWED_FIELDS = {"name", "email", "phone"}

def update_user(user_id: int, data: dict):
    filtered_data = {k: v for k, v in data.items() if k in ALLOWED_FIELDS}
    user = User.query.get(user_id)
    for key, value in filtered_data.items():
        setattr(user, key, value)
    db.commit()
```

6. Регулярно проводите аудит API-ответов

7. Используйте версионирование API

8. Применяйте OpenAPI/Swagger для документирования

9. Ограничьте объем возвращаемых данных (Pagination)

10. Внедрите мониторинг и логирование

11. Проводите регулярное тестирование безопасности

12. Обучайте разработчиков

Заключение