有些系統只依登入者所擁有的角色功能來顯示功能選單，而在功能上並未再去檢查使用者是否有權限可以使用。
本章練習透過 robots.txt 檢查 MyStore 系統是否有存在這樣子漏洞可以利用
-
開啟 Chrome 在 Url 中輸入 http://localhost:44375/robots.txt，按下 Enter
-
裡面的內容有一個為 /admin/index ，可以試著看能不能直接存取它。
-
Url 改成 http://localhost:44375/admin/index，按下 Enter
-
會被切到登入功能(有登入驗證)。
-
畫面輸入
欄位 值 Email rm@gss.com.tw Password 0002 Remember me 不勾選 -
按下 「Login」 Button
-
Url 改成 http://localhost:44375/admin/index，按下 Enter。居然可以正常執行，表示該功能只有檢查登入驗證，並沒有檢查角色。
註: 針對功能需要加上角色檢查(todo: Session-7.3)