1.扫描子域名直接访问成功的未授权(spring、swagger-ui、rocketMQ、telescope等等) 2.在登陆页面，通过查看js文件查找api接口拼接路径成功的未授权 3.Shiro在每个接口前加上分号 /;/绕过拼接路径成功的未授权
欢迎各位大佬交流姿势，目前我只遇到过这三种类型的。多扫子域，多看js文件，多爆破。下次遇到其他类型的在补充。嘿嘿。
师傅真猛
666
猛哥太强了
