Блин, классный разбор! Особенно кайфово, что не просто перечислил уязвимости, а показал, как по ним реально копать руками. Вот эти моменты с подменой ID и ручной проверкой ролей — без этого API-тестинг превращается в угадайку. Раньше я тож пытался все через сканеры решить, а тут понятно, что без ручной работы никуда. Спасибо за этот чеклист, теперь намного проще структурировать пентест.