用途：测试 API 是否存在失效功能级授权（BFLA，OWASP API5:2023），即普通用户能否直接调用管理员或特权接口，属于垂直越权检测。
主要能力：发现常见管理员端点路径；按角色矩阵（未认证、普通用户、版主、管理员）测试各端点与 HTTP 方法；测试方法级绕过（如 GET 被拒但 PUT 通过）；测试参数提权（如 role、is_admin、租户头覆盖）；测试 API 版本与路径绕过（大小写、URL 编码、路径穿越、分号、尾斜杠等）。
使用方式：需书面授权，明确目标 API 与范围内管理功能；准备多级权限测试账号、OpenAPI/Swagger 文档、Burp Suite Professional、Python 3.10+ 与 requests 库。工作流包括：管理员端点发现、基于角色的功能测试、HTTP 方法操纵、参数提权、API 版本与路径绕过。示例命令：ffuf -u https://api.example.com/api/v1/FUZZ -w admin-endpoints.txt -H "Authorization: Bearer user_token"。
适用场景：SaaS 多租户 API 评估、RBAC 实现验证、API 网关与中间件授权一致性检查、文档中暴露的管理端点验证。
限制：无书面授权不得使用；BFLA 测试会尝试以未授权凭证执行管理功能。常见误区包括只测 GET、未枚举未链接端点、因单个端点返回 403 就假定 RBAC 一致、遗漏内部或未文档化端点、未覆盖所有角色层级。输出格式为发现报告，含 ID、严重性、受影响端点、描述、概念验证、影响与修复建议。