权限核对 · 分项说明
概念说明
权限核对不是确认“你是谁”的身份认证，也不是把账号贴一个角色标签，而是把一次请求拆成主体、动作、对象和时点，逐项对照当前授权规则，判断这一次能否执行。它靠两点成立：请求要素齐全，规则能指到具体条款；界面上按钮是否可点只是展示结果，不能代替这次核对。
判断方法
权限核对的判断对象是一次请求所需许可是否被授权条目覆盖，而不是身份是否已登录或角色属于哪一组。取一个可回退的测试对象，先完成一次请求，记录对象、动作、执行身份和时段；再保持其他三项不变，只改动作，观察拒绝是否随动作变化；再保持动作不变，只换执行身份，观察是否随身份变化。若结果随动作或身份稳定变化，再查授权条目中的对应项；若只在登录状态变化时变化，先查身份认证；若只在对象状态变化时变化，先查业务规则。每次只改一项，不把一次拒绝直接当成缺少许可。
适用边界
权限核对的结论只回答“这次请求在核对时刻是否被放行”，不能回答“该身份应不应该拥有这项许可”。适用前提是请求可重复观察、所需许可能与授权条目按对象、动作、身份和时段对应，并且判定没有被一次性票据、代理身份或业务审批替换；这些情况下只能记录请求现象，不能反推账号权限清单。它也不用于评价授权设计是否合理、是否最小化，或预测未来请求：策略版本、属性条件或资源状态一变，结论就要重做。若界面把未登录、对象锁定和权限不足显示成同一提示，先分层核对，不能据单次结果下结论。
读者评论
感觉这类问题多半还是自己操作不当吧。
有个想法，能不能出个懒人版的步骤？
先收藏，等周末有空再慢慢试，感谢整理。
原来问题还能这么解，思路一下子打开了。
评论区比正文还精彩，学到不少冷门经验。