api-authorization-and-bola

スキル：API 認可と BOLA — オブジェクトアクセス、機能アクセス、マスアサインメント

AI LOAD INSTRUCTION：API がオブジェクト ID、ネストされたリソース、またはロールに依存する機能を公開しており、BOLA、BFLA、メソッドの悪用、非表示フィールドの制御に焦点を当てた認可テストの手順が必要な場合は、このスキルを使用します。

1. コアテスト手順

1. アカウント A とアカウント B を作成します。
2. アカウント A として、作成、読み取り、更新、削除のフローを取得します。
3. アカウント B のトークンで再実行します。
4. 関連するエンドポイント、ネストされたエンドポイント、代替 HTTP メソッドをテストします。

2. テスト対象

対象	例
オブジェクトの読み取り	/api/v1/orders/123
ネストされたオブジェクト	/api/v1/users/1/invoices/9
管理者または内部機能	/api/v1/admin/users
更新パス	PUT、PATCH、DELETE の各バリエーション
非表示の JSON フィールド	role、org、verified、tier

3. クイックペイロード

{"role":"admin"}
{"isAdmin":true}
{"org":"target-company"}
{"verified":true}

4. テスターが見落としがちな点

• ヘッダー、Cookie、GraphQL 引数、ネストされたオブジェクト内のオブジェクト ID
• 同じルートを共有しながら、より弱い認可を持つ代替メソッド
• 親オブジェクトのチェックはあるが、子リソースのチェックがない
• 書き込み可能なフィールドが追加で記載された管理者向けドキュメント

5. 次のルーティング

• JWT またはトークン層の悪用については、API 認証と JWT の悪用を参照してください。
• GraphQL と非表示パラメーターの発見については、GraphQL と非表示パラメーターを参照してください。
• API 以外のより広範な IDOR パターンについては、IDOR（オブジェクト認可の不備）を参照してください。