权限核对 · 分项说明
概念说明
权限核对要求每次判定都留下依据：无论通过还是拒绝，都要能指出对应的是哪一条许可、哪一段范围。没有依据的核对无法复核，授权变更后也判断不出旧结论是否仍然成立。它的价值不在给出一个结果，而在结果可被追溯。
判断方法
权限核对是判断一次请求所需许可是否被实际授予覆盖，它靠请求范围与授权条目能够对应并可通过可控变更验证来成立。91大赛爆料每日西瓜。比如在设置页保存一项修改时，先记录成功提交涉及的对象、动作和发生时段；在可回退的测试授权中逐项移除许可并重做同一动作，只有移除某项后稳定被拒绝、恢复后又能完成，才把该项认定为必要许可。移除后仍成功，说明授权列表中的该项未被这次操作使用，不能据此推断越权。变化点应定位到具体许可，而非整组授权。
适用边界
权限核对判断的是一次请求所需许可是否包含在实际授予中，靠请求路径与授权条目能分别观察、逐项对应来成立。若只能看到按钮是否可点，或授权以分组方式下发，则只能记录该身份这次能否完成操作，不能反推具体许可。预览可看不能推出编辑许可存在，按钮置灰也可能只是前端限制，不能当作后端拒绝；两条路径应分别记录。授权是否应当授予、操作后果是否合规，都不在核对结论范围内。
读者评论
写得挺接地气，不像有些地方一上来全是术语。
我倒是觉得基础先练熟，别的都是锦上添花。
评论区比正文还精彩，学到不少冷门经验。
早几年看到就好了，能少走不少弯路。