用途：用于测试 IDOR（不安全直接对象引用）与对象级授权缺陷，属于授权类漏洞的测试手册，适合漏洞赏金与渗透测试中的授权边界验证。
主要能力：区分 IDOR、BOLA（对象级授权失效）与 BFLA（功能级授权失效）；梳理对象 ID 可能出现的位置，包括 URL 路径、查询参数、请求体、JSON 字段、请求头、Cookie、GraphQL 参数、表单字段与 WebSocket 消息；给出 A-B 测试方法：建立 UserA 与 UserB 两个账号，以 A 执行操作并记录请求，再以 B 的会话重放 A 的请求，判断能否读取或修改 A 的数据。
测试方法要点：覆盖顺序整数、UUID v1/v4、哈希 ID、编码 ID、复合 ID 等 ID 类型；水平与垂直越权；对同一资源尝试 GET、POST、PUT、DELETE、PATCH 等方法；参数污染与类型混淆（数组、重复参数、字符串与整数差异）；BFLA 测试管理类与批量、导出、计费接口；间接 IDOR（父对象授权通过但子资源未校验）；批量赋值导致提权；状态机滥用（跳过或篡改状态）；以及 Django ORM 过滤注入、Prisma 过滤注入、Ransack 等因过滤器链造成的字段泄露。快速清单建议先创建两个测试账号、映射所有含对象 ID 的 API 调用，再逐一验证各位置与各方法。
限制：资料为方法论与检查清单，具体目标、接口、结果与修复方案需在授权环境中自行验证；未提供安装命令、代码工具或自动化脚本的使用步骤；适用范围限于获得合法授权的安全测试。