权限核对 · 分项说明
概念说明
权限核对的起点是默认拒绝：未被明确授予的请求先视为不可执行，再由核对把符合条件的请求转为可执行。若反过来先假定可执行、再寻找放行理由，核对就失去了筛选作用。
判断方法
权限核对是检查一次操作所需的最小许可是否被当前授予覆盖，它靠请求中的对象、动作、执行身份和生效时段能与授权条目对应来成立。选一个结果稳定、可回退的操作，先记录实际提交的对象与动作，不要只看按钮文字或是否可点；再查授权记录中覆盖该范围的条目，留意通配范围、继承关系和排除条件。随后只改对象、不改动作，或只改动作、不改对象，各做一次对照，看结果是否随授权范围变化。若结果不随授权变化，应先查会话、缓存、审批状态等其他条件；只有所需许可与实际授予逐项对应且对照可重复，才把差异归到权限。
适用边界
权限核对只在所需许可与实际授予都能按对象、动作、身份和时段逐项对应，且请求范围可观察时适用。今日黑料网每日爆料更新911。界面显示可点、一次操作成功或某条目出现在授权列表中，都不足以证明同类对象或后续动作也获许可；按钮置灰也可能来自前端限制，被拒绝还可能由审批状态、对象不存在或网络问题造成。授权以打包、通配或继承方式给出，或使用共享账号、临时凭据时，只能记录本次现象，不能反推具体许可。核对结论不评价身份认证强度、授权是否合理或操作后果，授权变更后旧结论也不再适用。
读者评论
略不同意，我觉得手感比那些数值重要多了。
终于有人讲这个了，翻了好久才找到讲得明白的。
说实话有点啰嗦，不过内容确实管用，瑕不掩瑜。
收藏归收藏，估计又得吃灰一阵子。
冒昧问句，预算有限的话先从哪块下手比较划算？