漏洞总结：Anonymous File Access After Disabling Spectator Access 漏洞概述 漏洞名称: Anonymous File Access After Disabling Spectator Access（禁用观众访问后的匿名文件访问） 严重等级: Critical (严重) CVSS 评分: 9.8 核心问题: 即使系统配置中禁用了“Spectator Access”（观众访问），攻击者仍然可以通过特定的URL路径未授权访问已上传的文件。这通常是由于文件上传后的访问控制逻辑存在缺陷，未能正确验证用户权限。 影响范围 受影响功能: 文件上传模块、文件下载/访问API。 潜在后果: 未授权访问: 攻击者可以下载或查看本应受保护的文件。 数据泄露: 敏感文件（如用户数据、内部文档）可能被泄露。 隐私违规: 违反数据隐私政策。 修复方案 权限验证: 在文件访问的API端点（如 ）和文件下载逻辑中，必须强制实施严格的权限检查。 配置同步: 确保“Spectator Access”配置状态实时生效，一旦禁用，所有相关端点应立即拒绝未授权请求。 代码逻辑: 在文件控制器（FileController）或服务层中，增加对 标志的检查。如果该标志为 ，则必须验证用户是否已登录（ ），否则抛出未授权错误。 POC / 利用代码 1. 文件上传与获取URL (复现步骤) 2. 尝试未授权访问文件 (利用步骤) 3. 修复后的代码逻辑示例