订单接口越权漏洞致他人收货信息可被枚举读取，平台两天内完成修复

一个订单查询接口至少要过三道关：你是谁（身份认证）、这个订单是不是你的（归属校验）、你以什么频率访问（限流）。本次漏洞缺的是第二道。

缺少归属校验时，前端界面看起来一切正常——你在自己的订单页里只能看到自己的订单。但只要把请求里的订单号改一改，服务端就会把别人的数据原样返回。

值得肯定的是响应速度。从通报到修复验证通过不到 48 小时，且平台建立了对外可用的安全响应渠道，研究者知道该把问题交给谁。

对用户而言，判断一个平台是否值得信任，不只看它有没有出过问题，更要看它出问题后的响应速度与透明度。