用途：针对 API 授权缺陷的定向测试，覆盖 BOLA（对象级授权失效）、BFLA（功能级授权失效）、方法滥用与隐藏字段控制。
核心测试循环：创建账户 A 与账户 B；以 A 捕获创建、读取、更新、删除流程；用 B 的令牌重放；测试同级端点、嵌套端点与替代 HTTP 动词。
测试面：对象读取如 /api/v1/orders/123；嵌套对象如 /api/v1/users/1/invoices/9；管理员或内部功能如 /api/v1/admin/users；更新路径 PUT、PATCH、DELETE 变体；隐藏 JSON 字段如 role、org、verified、tier。
快速载荷：{"role":"admin"}、{"isAdmin":true}、{"org":"target-company"}、{"verified":true}。
易遗漏点：对象 ID 出现在请求头、Cookie、GraphQL 参数与嵌套对象中；同一路由的替代方法存在更弱授权；父级检查存在但子资源检查缺失；管理员文档暴露额外可写字段。
后续路由：JWT 或令牌层滥用见 api auth and jwt abuse；GraphQL 与隐藏参数发现见 graphql and hidden parameters；API 之外的更广泛 IDOR 模式见 idor broken object authorization。
限制：资料未提供工具、安装命令、收费或平台信息，用法细节暂未提供。