权限核对 · 分项说明
概念说明
权限核对是把请求缩到完成目标所必需的最小动作与对象范围，再对这一范围逐项找许可；附带或顺带的动作不因主动作获准而自动放行。范围说不清时先记为待核，不先执行再补依据。
判断方法
权限核对的判断方法，是先把请求范围缩到最小可判定的单元，再观察拒绝是否随范围变化。先记录原请求覆盖了几个对象和几个动作；在可回退对象上保留身份、时段和入口不变，只提交一个对象加一个动作的最小请求。若最小请求通过而原请求被拒，逐个加回对象或动作，找到使拒绝出现的那一项，再核对该项的授权条目；若最小请求也被拒，保持对象不变换动作，再保持动作不变换对象。每次只改一个因素，并记录实际到达授权层的请求。缩小范围后拒绝消失，说明原请求含未覆盖项，不能直接去申请更大范围。
适用边界
权限核对的结论只对判定时刻的授权状态有效，不能由多个单项放行推出组合请求也会放行；组合请求可能因其中一项未被覆盖而整体被拒，反过来整体被拒也不能说明每一项都缺许可。若授权条目在两次核对之间被修改、过期或替换，前后结果应分别记录，不能合并成同一结论。它也不评价授权范围是否必要或是否过大，只回答这次请求在核对时刻是否被授权层放行。前提是请求确实到达授权层且判定可记录；拒绝来自业务规则、参数校验或对象状态时，外观相同也不能归为权限问题。
读者评论
道理是这么个道理，真上手还是得靠自己慢慢找感觉。
谢啦，卡了好几天，今晚回去试试。
谢了，正好最近被这个问题折腾得头大，来得太及时。
原来还有这么多门道，之前完全没注意过。
折腾了半宿总算弄明白了，谢谢整理，省了我不少事。