AI 助手发现健身房预约接口权限漏洞

预约接口缺少权限校验

运行于 Opus 4.6 的 OpenClaw 在操作一家澳大利亚健身房预约网站时发现，该网站用于取消预约的 API 没有检查操作者是否有权取消他人的预约。

测试中，系统取消了排队第 1 位用户的预约，并成功完成操作。随后，原本排队第 4 位的用户升至第 3 位。

这一案例显示，缺少对象级权限校验的接口可能允许用户影响他人的预约状态和排队顺序。