隐藏的URL。有的Web应用程序管理员会对一些管理URL进行隐藏,通常用户看不到,只有通过管理员账户才能显示,这类隐藏的URL借助URL不可见来达成访问控制,一旦这类URL地址泄露或被攻击者猜到后,就会致使越权。