越权访问场景中，威胁、脆弱性和影响分别是什么？

正确答案 C

恶意调用是可能的有害行为，属于威胁情境；缺少记录访问权限检查是可被利用的薄弱点，属于脆弱性；资料泄露是利用后的后果，属于影响，选C。

把三句话接成因果链，比孤立背定义好记：有人可能怎样造成危害，系统哪里给了可乘之机，成功以后损害什么。①描述恶意调用的可能行为，不要求它已经发生；②说的是接口授权检查的缺口；③才是客户资料泄露这一后果。若把②当威胁，就把“可能来利用问题的行为”和“问题本身”颠倒了。脆弱性也不只存在于程序代码，职责、流程和配置中的弱点同样可能被利用；本题恰好给了一个技术缺口。还要注意，这三句没有提供发生概率、既有控制有效性等足够信息，不能直接算出具体风险数值或正式定级。补上该处授权检查，是处理一项脆弱性的办法，也不据此宣布所有威胁和剩余风险都消失。

选项分析

A

前两项颠倒：恶意调用是威胁情境，缺少权限检查是可被利用的弱点，不是反过来的关系。

B

把薄弱点认作影响，又把泄露后果认作脆弱性，混淆了利用条件与利用后的损害。

C

分别对应可能的有害行为、可被利用的接口缺口和泄露后果，与题干三条描述的对象一致。

D

①尚在描述可能发生的恶意行为，③描述后果，不能把两者的名称对调，②虽对应正确仍不足。

再巩固一步

• 按“可能怎样受害—哪里易被利用—会损害什么”找对应描述；概率与影响程度还需要另行评估，不能从概念匹配直接算分。