-
API 키 생성
-
범위를 그룹 관리로 설정하고 그룹 ID를 입력합니다 (예: trust_level_0의 경우 10)
-
API 호출을 시도해 봅니다
curl -H "Api-Key: ***" https://test.example.com/groups/trust_level_0/members.json
→ 403 {"errors":["You are not permitted to view the requested resource. The API username or key is invalid."],"error_type":"invalid_access"}
ID를 시도해 봅니다
curl -H "Api-Key: ***" https://test.example.com/groups/10/members.json
→ 403 {"errors":["You are not permitted to view the requested resource. The API username or key is invalid."],"error_type":"invalid_access"}
그 이유는 범위가 호출을 id 파라미터로 제한하기 때문입니다.
하지만 이 특정 호출의 경우 파라미터 이름은 name입니다. 따라서 절대 작동하지 않습니다.
데이터베이스를 해킹하여 범위를 {"name": ["trust_level_0"]}으로 변경하면 이 호출은 작동합니다 (하지만 다른 모든 호출은 깨집니다).