一个没验签的登录令牌，通向 173 亿亿行微软数据

📋 概述

16 岁的安全研究者 Faav 披露：一个内部分析服务从不校验登录令牌的签名，导致他无需任何真实凭证就能冒充管理员身份并提交未授权的 SQL 查询，理论上可触达微软多类数据集中约 17.3 万亿行记录。他只用表描述、元数据和有界的样本行来评估影响范围，从未触碰客户数据或 PII，并走了协同漏洞披露流程。文中特别说明影响是假设性的，且微软对这篇稿件拥有编辑控制权，删改了部分段落和图表，文章也附上了微软对此次报告的官方回应。