越权分两种：垂直越权，水平越权
垂直越权
配置文件中修改用户角色
请求参数控制用户id，"rolied":2
用户角色由请求参数控制，admin:true
用户 id 由请求参数控制，id=admin
水平越权
由请求参数控制的用户 id
通过页面显示找到其他用户，尝试获取其他用户id ，替换自己实现水平越权
//靶场：https://portswigger.net/web-security/all-labs#access-control-vulnerabilities
工具
https://github.com/smxiazi/xia_Yue