权限核对 · 分项说明
概念说明
权限核对是在请求即将执行的那一刻，把发起者、目标对象、动作和当前生效的授权条件放在一起比对，判断这一次是否放行；它靠执行点重新判定，而不是靠页面是否显示按钮或会话是否还开着。比如在共用设备上退出管理员账号、换用受限账号后，用浏览器后退回到旧页面，页面可能仍能显示，但点下保存时应在执行处被拒绝。旧页面和缓存只能说明曾经打开过，不能说明现在仍有许可。
判断方法
权限核对判断的是一次操作所需许可是否被当前身份覆盖；比起只改一条授权，更稳的是用两个测试身份做差分：在同一测试对象上，用已知能完成该操作的身份和另一个身份各执行一次相同动作，记录返回信息、界面变化和操作是否真的生效。若差异稳定跟随身份出现，再查两者的授权条目在对象、动作和时段上的区别；若两个身份表现相同，优先检查对象状态、客户端限制或操作路径，不把失败直接记成缺少许可。差分只在可回退的测试环境做，不拿生产账号试探。每日大瓜91反差爆料17v。
适用边界
权限核对只能说明某次请求在核对时刻是否被授权层放行，不能替代对身份认证、业务规则和资源状态的判断；当界面把未登录、对象锁定、待审批和权限不足显示成同一种拒绝时，单次结果不足以指认原因。它还要求请求可以重复且判定不依赖一次性票据：票据被消费后重试，得到的已经是另一个请求，不能与上一次直接比较。结论应停在本次请求的返回现象，不把不同时刻或不同票据的结果合并成一条判断。
读者评论
之前一直瞎弄，原来是我把顺序搞反了。
遇到过类似的情况，折腾半天结果是环境的问题。
收藏归收藏，估计又得吃灰一阵子。
手边正好闲着，跟着弄了一下，居然有效。
其实很多人忽略了最基础的那一步，光顾着调高级的。