用途：在获得授权的漏洞赏金或渗透测试范围内，系统化检测不安全的直接对象引用（IDOR）。覆盖 8 类变体：V1 数字 ID 直接替换、V2 编码/哈希 ID 替换、V3 参数污染、V4 GraphQL node() 查询、V5 WebSocket 消息、V6 文件路径引用、V7 API 版本降级、V8 批量赋值。
主要能力：通过两个账号（A 攻击者、B 受害者）对比验证越权；按 ID 格式自动分类应测变体；遍历 GET/POST/PUT/PATCH/DELETE 各方法；探测 UUID 泄露来源、参数覆盖、请求头注入、GraphQL 全局 ID 构造、旧版本 API 路径与特权字段写入；最后做影响评估与链式升级（PII 泄露、账户接管、权限提升），并枚举多个 ID 证明影响规模。
使用方式：需准备目标基础 URL、两个账号的令牌或会话 Cookie、受害者资源 ID、含对象引用的端点，可选输出目录，对应环境变量 SECSKILL_TARGET、SECSKILL_TOKEN_A、SECSKILL_TOKEN_B、SECSKILL_RESOURCE_ID、SECSKILL_ENDPOINT、SECSKILL_OUTPUT_DIR。需配置 Burp Suite 或 Caido 等代理拦截请求，两个账号均需至少创建过一个资源。WebSocket 测试需 wscat（npm install -g wscat）。
适用场景：端点 URL 或请求体含 ID 参数、需测试同角色或跨角色账号间访问控制、存在新旧 API 版本并存、GraphQL 内省发现 node() 查询、WebSocket 消息含客户端提供的用户或资源标识、文件下载端点含文件名或路径。
限制：必须持有有效授权；UUID 不可枚举时需先寻找泄露源；若服务端忽略 ID 参数或仅用会话数据，需转向其他端点；GraphQL 返回 null 或批量赋值被白名单拒绝时需换类型名或检查前端源码；wscat 不可用时可改用 Burp 的 WebSocket 历史手动重放。具体收费、价格与平台信息暂未提供。