权限核对 · 分项说明
概念说明
权限核对要求每次判定都留下依据：无论通过还是拒绝，都要能指出对应的是哪一条许可、哪一段范围。没有依据的核对无法复核，授权变更后也判断不出旧结论是否仍然成立。它的价值不在给出一个结果，而在结果可被追溯。
判断方法
权限核对是判断一次请求所需许可是否被实际授予覆盖，它靠请求范围与授权条目能够对应并可通过可控变更验证来成立。比如在设置页保存一项修改时，先记录成功提交涉及的对象、动作和发生时段；在可回退的测试授权中逐项移除许可并重做同一动作，只有移除某项后稳定被拒绝、恢复后又能完成，才把该项认定为必要许可。移除后仍成功，说明授权列表中的该项未被这次操作使用，不能据此推断越权。变化点应定位到具体许可，而非整组授权。
适用边界
权限核对判断的是一次请求所需许可是否包含在实际授予中，靠请求路径与授权条目能分别观察、逐项对应来成立。若只能看到按钮是否可点，或授权以分组方式下发，则只能记录该身份这次能否完成操作，不能反推具体许可。预览可看不能推出编辑许可存在，按钮置灰也可能只是前端限制，不能当作后端拒绝；两条路径应分别记录。授权是否应当授予、操作后果是否合规，都不在核对结论范围内。
读者评论
照着弄了一遍，头不晕眼不花了，有点东西。
看完手痒，晚上回去就试试，回头来汇报效果。
说得好，不过我觉得预算紧的话没必要一步到位。
先码住，边玩边学才记得牢，光看一遍没啥用。
这个说法还是头一回听到，回头自己验证下是不是真这样。