Согласен, с IDOR всё реально не так просто, как кажется на первый взгляд. Главное — тщательно маппить все параметры и пробовать менять их по одному, особенно в API с вложенными объектами. Autorize помогает быстро находить косяки, но без ручной проверки никуда, особенно если авторизация на нескольких уровнях. А с JWT и куками реально муторно — обычно в Burp приходится самому допиливать, чтобы и куки менялись вместе с заголовками.