在前后端分离架构中(如RESTful风格)，前端通常通过调用后端API来验证用户登录状态。后端接口返回状态码(200、500)或结果字段(error、success)直接决定前端的后续操作。当后端逻辑中直接信任客户端传递的状态码或响应结果，攻击者可以通过修改API响应包(error->success,500->200)来绕过登录校验，伪造成功状态
点击访问链接：
密码重置场景
由于前端通过step参数控制流程，可以通过抓包工具拦截请求并直接修改step的值，从而绕过旧密码校验的步骤，直接进入设置新密码的阶段，核心问题在于流程的关键验证依赖于前端，而不是在后端进行严格的状态管理与校验