权限核对 · 分项说明
概念说明
权限核对是在请求即将执行的那一刻，把发起者、目标对象、动作和当前生效的授权条件放在一起比对，判断这一次是否放行；它靠执行点重新判定，而不是靠页面是否显示按钮或会话是否还开着。比如在共用设备上退出管理员账号、换用受限账号后，用浏览器后退回到旧页面，页面可能仍能显示，但点下保存时应在执行处被拒绝。旧页面和缓存只能说明曾经打开过，不能说明现在仍有许可。
判断方法
权限核对判断的是一次操作所需许可是否被当前身份覆盖；比起只改一条授权，更稳的是用两个测试身份做差分：在同一测试对象上，用已知能完成该操作的身份和另一个身份各执行一次相同动作，记录返回信息、界面变化和操作是否真的生效。每日大瓜大赛爆料。若差异稳定跟随身份出现，再查两者的授权条目在对象、动作和时段上的区别；若两个身份表现相同，优先检查对象状态、客户端限制或操作路径，不把失败直接记成缺少许可。差分只在可回退的测试环境做，不拿生产账号试探。
适用边界
权限核对只能说明某次请求在核对时刻是否被授权层放行，不能替代对身份认证、业务规则和资源状态的判断；当界面把未登录、对象锁定、待审批和权限不足显示成同一种拒绝时，单次结果不足以指认原因。它还要求请求可以重复且判定不依赖一次性票据：票据被消费后重试，得到的已经是另一个请求，不能与上一次直接比较。结论应停在本次请求的返回现象，不把不同时刻或不同票据的结果合并成一条判断。
读者评论
原来还有这么多门道，之前完全没注意过。
说得好，不过我觉得预算紧的话没必要一步到位。
讲得挺好，就是例子能再多一点就更好了。
多写点这种，比那些空话套话强太多了。
慢慢来呗，设备够用就行，别太纠结那些参数。