api-authorization-and-bola 是一份检查 API 对象与功能权限的 Skill。用户已登录之后，它继续看这个用户能否读取、修改或删除指定资源。
主文以两类账户比较同一业务流程，也关注嵌套资源与不同请求方法。父对象允许访问，子对象不一定同属该用户；某条路径的读取检查正确，也不能代表修改路径相同。
隐藏可写字段同样要按业务角色核对，字段能提交与修改会生效是两项事实。本文未扩写深入引用或执行账户测试，只介绍完整主文的检查面。
适合维护者先写清角色、资源归属与预期拒绝，再在获准环境验证。报告需要实际响应与复现条件，不能只看到订单编号、管理员字段或成功状态码，就宣布权限已经正常或存在漏洞。