技能介绍

要解决的后台权限盲区

管理后台的权限验收常陷入一个误区：把菜单隐藏当作授权，把前端路由保护当作接口鉴权。实际业务中，"谁能看到什么、能做什么、能看哪些数据"往往存在多层不一致——运营角色可能看不到财务字段但能调用导出接口，多租户场景下销售账号可能串读到其他租户的订单数据，上线前也没有角色回归矩阵可验证。这些盲区会导致越权、误封、数据泄露等问题，且难以通过单纯的功能测试发现。

基于五元组的审计流程

本技能用 主体 × 资源 × 动作 × 数据范围 × 条件 五元组拆解每条权限：主体包括平台管理员、企业管理员、财务、只读等角色；资源覆盖菜单、路由、接口、字段、导出文件；动作包含查看、编辑、删除、审批、配置等；数据范围从本人到全平台分层；条件则涉及状态、归属、时间等约束。

审计分为六步：

盘点真实角色：从账号、数据库、配置中确认实际角色，记录继承与组合关系，不凭名称猜能力
建立资源清单：从导航、路由、接口中标记敏感资源，如批量操作、导出、密钥、审计日志
拆分记录权限：同资源的页面、路由、接口和数据范围分开记录，避免混同
正向验证：用每类目标账号登录，验证入口、路由、按钮、接口返回和数据样本，不用超管代替
反向越权验证：手动输入隐藏路由、重放接口、替换资源/租户ID、请求超范围数据，用降权账号重试
一致性检查：对比前端条件、后端中间件、查询过滤和数据库策略，指出多真相源的修复位置

适用边界与注意点

适合在管理后台角色权限设计、验收、问题排查和上线前回归时使用。需要真实的角色账号和运行环境，不能仅用超级管理员替代其他角色验证。审计结果按 P0-P3 分级：P0 为跨租户/组织的数据泄露，P1 为未授权敏感操作，P2 为UI/接口显示错误，P3 为文案或审计信息不清晰。每个高风险问题需提供可复现请求或页面路径，不暴露密码、Token等敏感数据。