graphql-and-hidden-parameters 是一份核对 GraphQL 与未公开字段边界的 Skill。接口支持复杂查询时，它关注类型信息、嵌套对象、批量操作和角色敏感字段。
主文从 schema、文档和客户端线索比较字段，注意前端界面未展示而请求体可能使用的内容。字段在类型中出现，不等于当前用户能读或写，仍需检查实际权限。
批量请求把多个操作放到一次调用里，身份与频率规则是否对所有子操作适用，也是检查方向。本文只讲完整主文的范围，未展开深入引用或执行任何接口探测。
维护者提供允许目标、角色与预期行为后，记录每个候选来自哪里、是否已验证。限制类型查询也不能直接宣布安全；关键是可执行行为与数据边界，而不是可见字段数量。