O1.12.4Data export attack surface设计研究
导出功能本身可能成为批量数据泄露的新攻击面
别名: 批量导出风险 · 数据外泄接口 · export exfiltration
概念解释
数据导出攻击面（data export attack surface）是自助导出或直接传输功能把分散、受界面限制的数据集中为高价值文件，从而产生账户接管、越权请求、链接泄露和接收方误投等风险。读取一条记录的权限不一定等于批量复制全部历史的权限。安全目标是确认合法请求者并保护交付链，同时不以过度核验和永久拖延架空可携权。
机制
正常界面通过分页、权限和交互节奏限制一次可见范围，导出作业却在后台跨库聚合敏感内容。攻击者一旦控制会话，能在单次操作中获得长期记录；可转发下载链接、邮件附件、对象存储配置或日志又可能形成新的副本。导出还可能穿透对象级权限，把共同内容、已撤回资料或其他账户字段错误打包。
怎么研究
威胁建模应覆盖请求、身份核验、异步生成、临时存储、通知、下载、直接传输和到期销毁。安全测试可模拟被盗会话、修改账户标识、重放链接、猜测令牌、跨设备下载和并发请求，并用混合权限夹具检测越权字段。指标包括对象级授权错误、链接有效期、异常检测与撤销时间；只扫描最终压缩包不能发现请求端和交付端漏洞。
边界
风险不能成为取消或人为阻碍导出的理由。对高价值导出增加再认证和异步提醒可以合理，但应与账户风险、数据敏感性和已有认证强度相称。安全通知不能把导出内容放进邮件或锁屏预览。组织管理账户、未成年人账户和共同数据需要额外授权模型，不能仅依赖当前登录者。
怎么落地
- 在请求时执行对象级授权和风险适配再认证，对新设备或异常批量请求提供独立通知与撤销窗口。
- 在隔离作业中生成最小范围文件，使用高熵单次令牌、短有效期、传输加密和自动销毁；禁止公开对象链接。
- 下载页只显示范围和状态，邮件、推送及日志不得包含导出内容或可长期复用的地址。
- 用攻击者账户、共同对象和已撤回内容做端到端渗透测试；核对包内每条记录的授权，并确认过期、撤销及重复下载策略真实生效。