Крутая тема, спасибо за шпаргалку! Сам когда-то мучился с IDOR и GraphQL — Autorize реально не всегда катит, там body надо умно подменять, чтобы запросы корректно шли. Часто проще написать свой скрипт или глянуть в сторону InQL, чтобы вытаскивать нужные поля, а потом уже прогонять через Autorize. В общем, с GraphQL там своя песня, универсального рецепта пока не видел.