用途：针对 API/URL 中出现可预测对象标识符（user_id、account、订单号、文件名等）的场景，系统化检测 IDOR 越权，包括水平越权（访问他人数据）、垂直越权（普通用户获取管理员权限）与接口越权。
主要能力：覆盖 IDOR 入口发现（URL 路径、Query 参数、POST/PUT Body、Cookie/Header、文件路径、GraphQL 变量、WebSocket 消息）、水平越权读写测试、写操作越权（改邮箱/密码、删除、重置、提权）、垂直越权（管理端点、审批流越权、JWT Claims 篡改、Mass Assignment）、IDOR 绕过技巧（参数包装、方法切换、路径变体、编码、HPP 参数污染、Content-Type 切换、请求走私）、多步 IDOR 链、文件/媒体资源 IDOR、批量操作与间接引用（email/phone/username）、框架特征（Spring Data REST、DRF、Express+Mongoose、Laravel、GraphQL）以及证据收集规范与 CTF Flag 获取。
使用方式：按 Phase 1 至 Phase 9 流程执行；需准备至少两个账户进行 A/B 账号对比，响应分析不能只看状态码，需比对返回数据；每确认一个 IDOR 立即保存证据并上报漏洞。深入内容参考同仓库 references 下的 idor-bypass-techniques.md、idor-advanced-patterns.md、idor-techniques.md。
适用场景：API 渗透测试、越权漏洞排查、CTF 安全竞赛。
限制：官方具体安装、调用或执行命令暂未提供；该资料为方法论描述，不包含可运行工具本身。