SKILL: API 認可と BOLA — オブジェクトアクセス、機能アクセス、およびマス割り当て

AI LOAD INSTRUCTION: API がオブジェクト ID、ネストされたリソース、またはロール依存の機能を公開していて、焦点を絞った認可テストパスが必要な場合に、このスキルを使用してください: BOLA、BFLA、メソッド悪用、および隠しフィールド制御。

1. コアテストループ

1. アカウント A とアカウント B を作成します。
2. アカウント A として、作成、読み取り、更新、削除フローをキャプチャします。
3. アカウント B のトークンで再生します。
4. 兄弟エンドポイント、ネストされたエンドポイント、および代替 HTTP 動詞をテストします。

2. テストサーフェス

3. クイックペイロード

{"role":"admin"}
{"isAdmin":true}
{"org":"target-company"}
{"verified":true}

4. テスターが見落とすこと

• ヘッダー、クッキー、GraphQL 引数、およびネストされたオブジェクト内のオブジェクト ID
• 同じルートを共有しているが認可が弱い代替メソッド
• 親チェックは存在するが、子リソースチェックは欠落している
• 追加の書き込み可能フィールドを表示する管理ドキュメント

5. 次のルーティング

• JWT またはトークンレイヤー悪用の場合: api auth and jwt abuse
• GraphQL および隠しパラメータ検出の場合: graphql and hidden parameters
• API の外側の広い IDOR パターンの場合: idor broken object authorization