权限核对 · 分项说明
概念说明
权限核对要求每次判定都留下依据：无论通过还是拒绝，都要能指出对应的是哪一条许可、哪一段范围。没有依据的核对无法复核，授权变更后也判断不出旧结论是否仍然成立。它的价值不在给出一个结果，而在结果可被追溯。
判断方法
权限核对是判断一次请求所需许可是否被实际授予覆盖，它靠请求范围与授权条目能够对应并可通过可控变更验证来成立。比如在设置页保存一项修改时，先记录成功提交涉及的对象、动作和发生时段；在可回退的测试授权中逐项移除许可并重做同一动作，只有移除某项后稳定被拒绝、恢复后又能完成，才把该项认定为必要许可。移除后仍成功，说明授权列表中的该项未被这次操作使用，不能据此推断越权。变化点应定位到具体许可，而非整组授权。
适用边界
权限核对判断的是一次请求所需许可是否包含在实际授予中，靠请求路径与授权条目能分别观察、逐项对应来成立。若只能看到按钮是否可点，或授权以分组方式下发，则只能记录该身份这次能否完成操作，不能反推具体许可。预览可看不能推出编辑许可存在，按钮置灰也可能只是前端限制，不能当作后端拒绝；两条路径应分别记录。授权是否应当授予、操作后果是否合规，都不在核对结论范围内。
读者评论
写得挺接地气，不像有些地方一上来全是术语。
帮大忙了，省了我不少冤枉路。
说实话看完有点上头，想去拆开看看了。
想问下这种思路对老设备友好吗，会不会带不动啊？