Простыми словами
Некоторые действия формально разрешены, но опасны при массовом или автоматическом использовании: бронирования, покупки, голосования, регистрация бонусов. Если процесс не учитывает злоупотребление, бот может выполнять легальные операции в разрушительном масштабе. Поэтому нужны бизнес-лимиты, признаки автоматизации и контроль аномального поведения.
Пример при разработке
Регистрация на акцию доступна без ограничения скорости. Бот перебирает тысячи заявок, поэтому защищают сам бизнес-процесс: квоты, подтверждение и анализ автоматизации.
Это редакционный пример применения, а не часть определения или доказательство концепции.Механизм действия
Сначала проверяют, есть ли исходное условие из определения. Затем смотрят, как оно влияет на структуру компонентов, потоки данных, ограничения и действия участников. Если эту связь не удаётся наблюдать, принцип не стоит использовать как готовое объяснение.
Пример в работе
Использовать решение без учета его условий применимости и компромиссов.
Сопоставить проблему, контекст и ограничения с назначением концепции.
Ограничения
«Неограниченный доступ к чувствительным бизнес-процессам» объясняет только часть происходящего в области «Безопасность». Сам принцип не говорит, насколько сильным будет эффект в вашем случае, и не заменяет измерения. При другом масштабе, среде или временном горизонте результат может отличаться.
Источник
OWASP Foundation. OWASP API Security Top 10 – 2023. 2023.