GH-300 練習解析第2集｜已登入為何還會越權？測試判讀與程式差異審查

登入成功，為什麼還能讀到別人的任務？掃描通過，又能證明多少？ 本集承接第1集，用五道原創練習學習驗收 AI 修改中的資料授權。除了情境判斷，第3題直接比較測試的預期與實際結果，第5題審查三塊修改差異，找出身分來源被改成不可信參數的問題。 想先練習，可在答案揭曉前自行暫停。沒有固定8秒倒數；程式碼、測試結果與差異會跟著解析展示。影片已嵌入繁體中文字幕，另附SRT。 影片章節 00:00 承接第1集與作答方式 00:18 第1題 登入與授權的差別 01:58 第2題 可信身分從哪裡取得 03:09 第3題 測試預期與實際結果判讀 05:21 第4題 靜態掃描的涵蓋範圍 06:47 第5題 修改差異與信任邊界 08:20 總結與下集預告 本集學習重點 • 回傳資料前，依經驗證身分檢查任務擁有者。 • 請求成功不等於測試符合預期，允許與拒絕都要驗。 • 拒絕時也檢查沒有回傳受保護內容，HTTP狀態碼依系統契約。 • 掃描不一定涵蓋特定業務規則，須確認工具能力與設定。 • 審查AI修改時，核對身分來源與相依套件是否必要。 本機程式為手寫教學範例，採虛構任務資料；不是完整登入系統，也不是Copilot實際操作或模型生成紀錄。本片為獨立製作的原創教學，非官方課程或真題，不預測考試通過率。 參考資料 GitHub 負責任使用與限制 https://docs.github.com/en/copilot/re... OWASP 授權與驗證案例 https://cheatsheetseries.owasp.org/ch... 查核日期 2026-10-26 下一集 功能選擇與CLI Killtest.net #GH300 #GitHubCopilot #程式碼審查