业务逻辑漏洞路由

业务流程中的逻辑陷阱

在优惠券核销、库存扣减、支付状态流转等场景中，漏洞往往不出现在协议解析层，而藏在业务规则的执行时机与状态依赖里。例如 check-then-act 的竞态窗口可能让同一优惠券被重复使用，审批流跳过关键节点后状态机直接跳转到完成态，多步骤流程中价格篡改或负数提交绕过校验。这些问题的共同特征是：业务条件的验证顺序与跨步骤的授权缺失，而非参数格式或语法错误。

技能如何工作

该技能作为业务逻辑问题的路由入口，核心能力是梳理业务流程中的状态节点与一次性动作，识别三类典型缺陷：

• 竞态条件：先检查后执行的动作存在时间窗口，允许并发请求突破限制
• 工作流绕过：状态跳转缺少前置条件校验，或跨步骤操作未验证权限
• 业务值篡改：价格、数量等字段在多步骤流程中未持续验证一致性

处理流程分为两步：

1. 先绘制业务状态机，标记如 coupon_used、payment_completed 等关键状态，以及 apply_coupon、confirm_order 等一次性操作
2. 重点检查状态跳转时的校验时机，例如库存扣减是否在支付成功后执行，优惠券使用是否验证了唯一性约束。若链条涉及API调用、文件上传或对象权限，会返回 api-sec、file-access-vuln 等对应路由技能补全验证路径

适用边界与注意点

该技能聚焦业务规则与状态机逻辑，不处理SQL注入、XSS等解析层漏洞。当问题涉及身份认证时需配合 auth-sec 技能，跨系统的状态同步需结合实际业务流程验证。使用时应先明确业务场景的核心动作与状态流转，避免脱离上下文的静态检查。