权限核对 · 分项说明
概念说明
权限核对不是确认“你是谁”的身份认证，也不是把账号贴一个角色标签，而是把一次请求拆成主体、动作、对象和时点，逐项对照当前授权规则，判断这一次能否执行。它靠两点成立：请求要素齐全，规则能指到具体条款；界面上按钮是否可点只是展示结果，不能代替这次核对。
判断方法
权限核对的判断对象是一次请求所需许可是否被授权条目覆盖，而不是身份是否已登录或角色属于哪一组。取一个可回退的测试对象，先完成一次请求，记录对象、动作、执行身份和时段；再保持其他三项不变，只改动作，观察拒绝是否随动作变化；再保持动作不变，只换执行身份，观察是否随身份变化。若结果随动作或身份稳定变化，再查授权条目中的对应项；若只在登录状态变化时变化，先查身份认证；若只在对象状态变化时变化，先查业务规则。每次只改一项，不把一次拒绝直接当成缺少许可。
适用边界
权限核对的结论只回答“这次请求在核对时刻是否被放行”，不能回答“该身份应不应该拥有这项许可”。适用前提是请求可重复观察、所需许可能与授权条目按对象、动作、身份和时段对应，并且判定没有被一次性票据、代理身份或业务审批替换；这些情况下只能记录请求现象，不能反推账号权限清单。它也不用于评价授权设计是否合理、是否最小化，或预测未来请求：策略版本、属性条件或资源状态一变，结论就要重做。若界面把未登录、对象锁定和权限不足显示成同一提示，先分层核对，不能据单次结果下结论。
读者评论
感谢，之前一直卡在这一步，现在总算通了。
折腾这玩意儿得有耐心，急脾气真干不来。
说得好，不过我觉得预算紧的话没必要一步到位。
遇到过类似的情况，折腾半天结果是环境的问题。
这个我深有体会，前期别急着堆配置，先把基础打牢。