Да, логика API — это отдельный кайф, тут сканеры помогают, но без ручного копания никак. Главное — понять, какие данные и функции за что отвечают, и тогда подмена ID или обход авторизации становится понятнее. С опытом проще, но начинать стоит именно с изучения структуры запросов и ролей, тогда уже легче ловить ошибки.