用途：审查 Django 视图、DRF viewset、ORM 查询及处理用户数据的 Python/Django 代码，发现访问控制漏洞与 IDOR（越权访问）。核心问题是：用户 A 能否访问、修改或删除用户 B 的数据。
主要能力：先理解当前代码库的授权模型（权限检查位置、查询作用域、所有权模型），再映射攻击面（含用户数据的模型、按 ID 访问的端点及各操作），随后逐端点追踪 ID 从输入到取数的完整路径，确认中间是否存在作用域过滤、对象权限检查、基类或中间件强制。
使用方式：按阶段推进。可用 grep 辅助调查，例如：grep -rn "permission_classes|@login_required|@permission_required" --include="*.py" | head -20；grep -rn "class.Manager|def get_queryset" --include=".py" | head -20。追踪时关注 get_queryset() 是否返回 .all()、是否直接 Model.objects.get(pk=pk)、权限类是否只校验登录、是否缺少 has_object_permission()。
报告与限制：仅报告经代码追踪确认的问题，分 HIGH/MEDIUM/LOW 置信度，LOW 不报告。建议修复必须包含实际强制授权的代码（校验权限并抛出异常），不能只写注释或文档。若无法确定正确的强制机制，应明确说明。该技能不扫描预定义漏洞模式，不替代人工复核，未确认的问题列入“需人工验证”。