A quebra de controle de acesso é um dos principais riscos de segurança nas aplicações web. Para prevenir-se desta vulnerabilidade, segundo o OWASP, é recomendado
- A)permitir, por padrão, o acesso a todos os recursos da aplicação, ocultando apenas os recursos de configuração.
Errada, porque o correto é negar por padrão, e não liberar tudo escondendo só alguns recursos.
- B)certificar-se de que a aplicação mantenha válido os tokens JWT no servidor após o logout do usuário.
Errada, pois a questão trata de controle de acesso, e manter token JWT válido após logout não resolve essa vulnerabilidade.
- C)habilitar o recurso de listagem de diretórios e arquivos do servidor web para que terceiros possam auditar o site.
Errada, porque listar diretórios e arquivos aumenta a exposição da aplicação em vez de proteger o acesso.
- D)implementar mecanismos de controle de acesso uma vez e reutilizá-los em todo aplicação.
Certa, pois o OWASP recomenda centralizar e reutilizar os mecanismos de controle de acesso em toda a aplicação.
- E)manter presente no diretório raiz da aplicação web os metadados dos arquivos e os dados de backups.
Errada, porque deixar metadados e backups no diretório raiz amplia a superfície de ataque e facilita vazamento de informações.
Gabarito: D
Quebra de controle de acesso acontece quando a aplicação deixa o usuário acessar algo que ele não deveria, como páginas, funções, dados ou rotas internas. Em OWASP, a ideia central é simples: controle de acesso não pode depender só de esconder botão, menu ou URL bonita. Se a regra não estiver bem aplicada no servidor, o atacante agradece e entra pela porta dos fundos. A recomendação correta é implementar mecanismos de controle de acesso uma vez e reutilizá-los em toda a aplicação. Isso reduz falhas de inconsistência, evita que cada tela ou desenvolvedor crie sua própria regra e diminui o risco de esquecer checagens em alguma rota sensível. Em outras palavras: a autorização precisa ser centralizada, padronizada e aplicada de forma confiável em todas as ações protegidas. O OWASP também destaca práticas como negar por padrão, validar autorização em cada requisição e não confiar no front-end para proteger recursos. O problema aqui é justamente esse: muita aplicação até parece segura na interface, mas no servidor aceita acesso indevido. Segurança de verdade não é maquiagem, é regra aplicada de forma consistente. Por isso, o gabarito é a letra D. Ela traduz exatamente a boa prática recomendada pelo OWASP para mitigar falhas de access control: criar um mecanismo único, reaproveitável e coerente em toda a aplicação.