用途：检测与测试 OWASP API3:2023 对象属性级授权失效（BOPLA），涵盖过度数据暴露（API 返回超出所需的数据）与批量赋值（API 接受超出预期的数据）两类漏洞。即使对象级授权正确，API 仍可能未控制用户可读写的具体属性。
主要能力：识别响应中不应暴露的敏感字段（如 password_hash、ssn、salary、role 等），并按 critical/high/medium/low 分级；向请求体注入 role、is_admin、is_verified、account_balance 等字段，验证是否被服务端接受并生效；支持 GraphQL 内省检测；输出按类型与严重级别统计的报告。
使用方式：需目标 API 端点、API 文档或 OpenAPI 规范、Burp Suite 或 Postman、多个不同权限账号、Python 3.8+ 与 requests 库，以及测试授权。脚本以 BOPLAScanner 类实现，通过 test_excessive_data_exposure、test_mass_assignment、test_graphql_property_exposure 方法测试，generate_report 汇总结果。
适用场景：安全事件调查、构建检测规则与威胁狩猎查询、SOC 分析流程、验证安全监控覆盖。
限制：仅用于获授权的安全测试；实际效果取决于目标 API 与配置，资料未提供具体平台、收费或性能数据。