阅读主题
核心命题：授权需要共同判断主体、资源、动作与当时的业务条件。
区分身份认证、操作授权和环境授予的能力；建立资源归属、租户隔离、动作与字段权限，讨论共享链接、后台任务、插件及本地文件访问。说明界面隐藏、标识难猜与执行边界检查的差别；处理撤销、缓存和离线权限。
待写：界面上隐藏了删除按钮，直接调用接口却能删除他人数据；分享撤回后旧页面仍能导出。
跨用户与租户、撤权后、批处理和后台路径遵守边界；权限缓存、离线数据与执行位置的限制须明确。