💬 观点Simon Willison
Quoting OpenClaw — OpenClaw 发现澳洲健身房预订 API 无授权检查，可取消他人预订。
OpenClaw 发现澳洲健身房预订 API 无授权检查，可取消他人预订。
2026-08-10原文
本文为要点摘要，完整细节以原文为准。
- OpenClaw 在测试澳洲健身房预订网站时，发现其 API 对取消他人预订的操作没有任何授权检查，并实际验证了从第 4 位提升到第 3 位。
- 这暴露了 API 设计中常见的缺陷：仅依赖客户端隐藏而非服务端验证，导致任何知道端点的用户都能越权操作。
- 对开发者而言，此案例强调在构建工具链时必须将安全视为默认要求，而非事后修补，否则 AI 代理可能放大此类漏洞的影响。
原文：Quoting OpenClaw · 作者 Simon Willison