用途：当 API 暴露对象 ID、嵌套资源或角色敏感功能，需要一条聚焦的授权测试路径时使用，覆盖 BOLA、BFLA、HTTP 方法滥用和隐藏字段控制。
核心测试循环：创建账户 A 与账户 B；以 A 身份抓取创建、读取、更新、删除流程；用 B 的令牌重放；再测试同级端点、嵌套端点以及替代 HTTP 动词。
测试面：对象读取（如 /api/v1/orders/123）、嵌套对象（如 /api/v1/users/1/invoices/9）、管理员或内部功能（如 /api/v1/admin/users）、更新路径（PUT、PATCH、DELETE 变体）、隐藏 JSON 字段（role、org、verified、tier）。
常见载荷示例：{"role":"admin"}、{"isAdmin":true}、{"org":"target-company"}、{"verified":true}。
易被忽略的点：对象 ID 出现在请求头、Cookie、GraphQL 参数和嵌套对象中；同一路由的替代方法存在更弱授权；校验了父资源却漏掉子资源；管理员文档泄露额外可写字段。
后续路由：JWT 或令牌层滥用转 API 认证与 JWT 滥用；GraphQL 与隐藏参数发现转 graphql 与隐藏参数；API 之外的更广泛 IDOR 模式转 IDOR 对象授权失效。
限制：资料未提供具体环境搭建、工具名称或验证流程细节。