安全RCE之未授权访问分析(28)

从以上分析和下面的解释来看，当未获取到id时其中的处理逻辑错误的返回了200：

代码的整改中删除了不合理的判断：

修改后会走到中的，进而执行中的upload_model_class.find(params[:id])查找id对应账户。由于id不存在，此时查询会直接raise错误，不进下步操作，如下所示：