权限核对 · 分项说明
概念说明
权限核对是执行前的排除性检查：先列出本次请求会触及的对象和可能产生的影响，再逐项排除未被当前规则覆盖的部分；只有剩余项为零，才可执行。它不回答账号拥有多少权限，也不把一次通过推广到同类请求；同一账号换个对象或换个时点，都要重新走一遍排除。
判断方法
先看拒绝是否随“授权条目的具体程度”变化。记录请求中的对象标识、动作名、执行身份、时段和条件属性；在同一对象上分别用直接授予与经由上级继承的测试身份发同一请求，再增加一个只针对该对象的更具体拒绝条目重放。若结果随更具体条目翻转，判定按更具体规则覆盖；若只随身份变化，问题在角色聚合；若只随对象层级变化，问题在继承。每次只改一个维度，不把一次拒绝直接当成缺少许可。
适用边界
权限核对的结果只覆盖被授权层实际评估的那个请求；若一次批量或聚合请求同时涉及多个对象、动作，返回的允许或拒绝是整批判定，不能拆成逐项许可清单。适用前提是请求粒度与授权粒度能对齐，且对象标识、动作、执行身份和生效时段都可对应；条件授权、临时凭证、共享执行身份或跨对象转移会让多项判定合在一起，只能记录整批现象。未发出的请求不在结论范围内，会话内许可被收回后也要重放。51.com交友。
读者评论
谢谢，终于搞懂了一直没弄明白的那个点。
先收藏，等周末有空再慢慢试，感谢整理。
其实很多人忽略了最基础的那一步，光顾着调高级的。
我之前也瞎调过一阵，最后还是回到默认，省心。
手边正好闲着，跟着弄了一下，居然有效。