Il controllo degli accessi a livello di oggetto è l'insieme di regole che decide se un utente, una sessione o un servizio può leggere o modificare un singolo oggetto specifico, come un ordine, un profilo cliente, una spedizione, una fattura o un ticket. È diverso dai controlli di accesso generali: un utente può essere autenticato e comunque essere bloccato dall'accedere al record di un'altra persona. Questo controllo è fondamentale perché molte applicazioni espongono i dati tramite ID degli oggetti, e un controllo mancante può consentire agli attaccanti di richiedere record che non avrebbero mai dovuto vedere.
Negli attacchi reali, i controlli deboli a livello di oggetto spesso si manifestano come problemi di tipo IDOR, in cui modificare un numero d'ordine o l'ID di un profilo restituisce i dati di un altro cliente. I difensori riducono questo rischio applicando l'autorizzazione a ogni accesso all'oggetto, non solo al punto di ingresso della pagina o dell'API. Le protezioni comuni includono controlli dei permessi lato server, principio del privilegio minimo, logica di negazione per impostazione predefinita e test per l'accesso trasversale agli account ai record. Un solido controllo degli accessi a livello di oggetto aiuta a prevenire fughe di dati, frodi e modifiche non autorizzate ai dati critici per il business.