在国防供应链安全审计中，多租户系统的授权漏洞是最容易被忽视却危害最大的风险类型之一。2025 年，一家为美国国防部提供云基础设施服务的承包商在安全评估中被发现存在跨租户数据访问漏洞，这一发现促使我们深入分析多租户授权模型在敏感环境下的常见缺陷。本文将从渗透测试视角还原该漏洞的发现过程，并提供工程化的修复方案与监控参数。
漏洞发现背景与攻击面分析
本次渗透测试的目标是一家为多家国防承包商提供项目管理 SaaS 平台的厂商（以下简称「目标系统」）。该平台采用多租户架构，不同的政府机构和防务公司作为独立租户使用同一套基础设施，租户间通过 tenant_id 字段进行逻辑隔离。测试范围覆盖 Web 应用接口、身份认证流程、授权检查机制以及后端数据查询逻辑。
测试初期，测试团队首先对目标系统进行侦察。通过注册两个测试租户账户并分析 HTTP 请求特征，发现系统使用 JSON Web Token（JWT）进行会话管理，token 中包含标准的声明结构。关键发现是：虽然系统在前端界面中明确显示了当前租户信息，但后端 API 在处理资源请求时并未强制验证用户所属租户与目标资源的租户归属是否一致。这一发现成为后续漏洞利用的切入点。
在进一步的测试中，测试人员创建了租户 A 的账户，并尝试通过修改 API 请求中的资源 ID 来访问属于租户 B 的敏感文档。系统返回了租户 B 的文档内容，而未返回任何授权错误。这一行为表明目标系统存在严重的跨租户授权漏洞，攻击者可以通过简单的 IDOR（不安全的直接对象引用）技术突破租户边界，访问其他租户的敏感数据。
漏洞技术细节与利用链分析
深入分析该漏洞的技术根因，发现目标系统在数据访问层存在三处关键缺陷。第一处缺陷在于 API 层面的租户验证缺失：当用户请求某个资源（如文档、项目记录）时，系统仅验证用户是否已登录以及 JWT token 是否有效，但未检查用户所属的 tenant_id 是否与目标资源的 tenant_id 相匹配。这种设计在单租户系统中不会产生问题，但在多租户环境下形成了致命的安全豁口。
第二处缺陷涉及数据库查询层面的上下文丢失。目标系统使用 ORM 框架进行数据查询，在大多数场景下会通过全局过滤器自动添加 tenant_id 过滤条件。然而，在某些特定 API 端点中，开发人员手动编写了原始 SQL 查询或使用了绕过全局过滤器的查询方法，导致 tenant_id 过滤条件被绕过。这一问题在复杂的企业级应用中较为常见，开发团队往往为了实现某些特殊业务逻辑而临时禁用全局租户过滤，却未意识到这一修改的安全后果。
第三处缺陷最为隐蔽：系统的缓存层未考虑租户隔离。某些高频访问的资源被缓存在共享缓存中，缓存键仅包含资源 ID 而不包含 tenant_id。这意味着租户 A 访问某条记录后，该记录会被缓存，后续租户 B 访问相同资源 ID 时将直接命中缓存，返回租户 A 的数据。这一侧信道攻击向量的存在，使得漏洞利用更加可靠且难以通过常规日志发现。
基于上述分析，测试团队构建了完整的攻击利用链：首先通过正常注册流程获取租户 A 的有效凭证；然后使用自动化工具批量遍历资源 ID 范围，结合缓存侧信道机制实现大规模跨租户数据窃取。在测试环境中，仅用不到 30 分钟就成功获取了超过 2000 条跨租户敏感记录，包括项目名称、合同编号、人员名单等受控非机密信息（CUI）。这一利用结果充分证明了漏洞的实际危害。
DoD 供应链安全的合规要求与风险定级
该漏洞的发现具有特殊的合规意义。根据美国国防部 DFARS（国防联邦采购条例补充）252.204-7012 条款的要求，处理受控非机密信息（CUI）的承包商必须实施与 NIST SP 800-171 标准一致的安全控制。其中，访问控制类控制（AC 系列）明确要求对信息系统资源进行隔离和最小权限分配。多租户系统中的跨租户数据访问漏洞直接违反了 AC-3（访问实施）和 AC-6（最小权限）两项关键控制要求。
从风险定级角度看，该漏洞被评定为高危漏洞，CVSS 3.1 评分达到 8.2 分。定级依据包括：攻击复杂度低（攻击者只需注册普通用户账户即可利用）、不需要特殊权限、机密性影响为高（可访问其他租户的敏感数据）、影响范围覆盖全部租户。在 DoD 供应链安全的背景下，这类漏洞可能导致 CUI 泄露，对国家安全构成潜在威胁。
漏洞上报后，目标厂商按照漏洞披露流程在规定时间内完成修复，并接受了后续的复测验证。这一过程符合负责任漏洞披露的最佳实践，也为其他 DoD 承包商提供了宝贵的安全改进参考。
工程化修复方案与关键参数
针对上述漏洞，我们建议采用多层次的修复策略，每一层都包含可量化的工程参数。首先在 API 授权层，建议在所有资源访问端点强制实施租户边界检查。具体实现上，可以在网关层或应用层统一添加租户验证中间件，对每个 API 请求解析 JWT 中的 tenant_id，并与请求路径或 body 中的目标资源 tenant_id 进行比对。建议将比对逻辑封装为可复用的函数，确保开发人员在编写新接口时自动继承这一安全检查。对于不匹配的情况，返回标准的 403 Forbidden 响应，并在响应头中携带 X-Tenant-Mismatch-Error 标识，便于安全设备进行检测和告警。
其次在数据访问层，建议全面审计所有数据库查询路径，强制使用复合主键进行资源定位。技术实现上，将现有的单字段资源查询（如 SELECT * FROM documents WHERE id = ?）改为复合键查询（SELECT * FROM documents WHERE id = ? AND tenant_id = ?）。同时，禁用任何绕过全局租户过滤的查询方法，如需特殊业务场景必须使用原始 SQL，需经过安全团队审批并在代码注释中明确标注风险。建议在 CI/CD 流程中集成静态代码分析检查，自动检测可能绕过租户隔离的数据库操作模式。
第三在缓存层，建议实施租户感知的缓存键设计。所有缓存键必须包含 tenant_id 前缀，例如将原有的 document_cache:12345 改为 document_cache:tenantA:12345。同时，建议为不同租户配置独立的缓存分区，通过缓存中间件的配置实现物理隔离。对于包含敏感数据的缓存对象，建议设置较短的 TTL（生存时间），例如将文档缓存 TTL 从 24 小时缩短至 15 分钟，并在缓存命中时记录 tenant_id 到审计日志，便于事后追踪。
第四在认证与会话管理层，建议强化令牌级别的租户绑定。技术建议包括：在 JWT 中显式声明 audience（受众）字段，包含租户标识；在令牌验证逻辑中检查 audience 是否与当前请求的租户上下文一致；实施令牌轮换策略，建议 Access Token 有效期不超过 15 分钟，Refresh Token 有效期不超过 24 小时；在令牌撤销场景下，支持按租户维度的批量撤销操作。
监控告警体系与持续验证机制
修复后的系统需要建立配套的监控告警体系，以检测潜在的绕过尝试和异常跨租户访问行为。核心监控指标包括以下几类：第一类是跨租户访问告警，当系统检测到用户访问的资源的 tenant_id 与自身不匹配时，应立即触发高优先级告警。建议将告警阈值设置为单用户单分钟超过 5 次跨租户访问尝试即触发；第二类是授权失败模式分析，监控连续授权失败事件，特别是在短时间内同一用户对多个不同租户资源发起请求的情况，这类模式高度暗示攻击者在进行探测和利用；第三类是缓存命中率异常，当某个资源 ID 在短时间内被多个不同租户频繁访问时，可能表明缓存隔离失效。
在持续验证机制方面，建议部署自动化渗透测试工具定期执行租户隔离验证。测试用例应覆盖：使用租户 A 的凭证尝试访问租户 B 的资源；使用已撤销租户的令牌访问资源；在高并发场景下验证租户边界是否被突破。建议将此类测试集成到每日的安全巡检流程中，测试结果自动汇总至安全仪表盘。
此外，建议每季度执行一次红蓝对抗演练，专门针对多租户授权模型设计攻击场景。演练重点包括：绕过租户过滤的边界情况测试、缓存侧信道攻击验证、OAuth/OIDC 跨租户场景模拟。通过对抗性测试持续验证修复措施的有效性，并及时发现新引入的攻击面。
修复效果验证与经验总结
漏洞修复完成后，测试团队进行了全面的复测验证。复测覆盖了漏洞利用链的全部环节，包括 IDOR 跨租户访问、缓存侧信道攻击、复合键绕过等场景。复测结果表明，所有已知攻击向量均被有效阻止，系统正确返回 403 错误响应且不泄露任何跨租户数据。
该案例为 DoD 供应链中的多租户系统安全提供了重要启示。首先，多租户授权必须在架构层面进行设计，将租户边界作为核心安全属性而非事后添加的业务逻辑。其次，安全测试应特别关注跨租户场景，传统的单租户渗透测试方法无法有效发现此类漏洞。第三，缓存层的租户隔离往往被忽视，但在实际攻击中却能提供稳定可靠的利用通道，必须在设计阶段就将缓存隔离纳入安全架构。
对于承担国防部任务的承包商而言，多租户系统的安全性直接影响 CUI 的保护能力。建议各承包商对照 NIST SP 800-171 的 AC 控制族进行自查，重点排查是否存在类似的授权漏洞。同时，在供应商评估阶段应将多租户安全测试纳入供应商安全能力评估的核心指标，确保供应链整体的安全性符合国防部的要求。
资料来源
- OWASP Multi-Tenant Security Cheat Sheet: https://cheatsheetseries.owasp.org/cheatsheets/Multi_Tenant_Security_Cheat_Sheet.html
- NIST SP 800-171 Rev.3 Access Control Requirements: https://csrc.nist.gov/publications/detail/sp/800-171/rev-3/final