적절한 인증 없는 중요기능 허용

취약한 코드 (javascript)

// 취약한 코드 - 관리자 API에 인증 없음
app.delete('/api/admin/users/:id', async (req, res) => {
  await db.users.delete(req.params.id);
  res.json({ ok: true });
});

안전한 코드 (javascript)

// 안전한 코드 - 인증 + 권한 검증 미들웨어
const requireAdmin = async (req, res, next) => {
  const user = await getAuthUser(req);
  if (!user || user.role !== 'admin') {
    return res.status(403).json({ error: 'Forbidden' });
  }
  next();
};

app.delete('/api/admin/users/:id', requireAdmin, async (req, res) => {
  await db.users.delete(req.params.id);
  res.json({ ok: true });
});