权限天花板：防止越权授予

权限系统的经典漏洞，是低权限管理员通过授予角色给自己提权。

天花板规则

任何角色或权限分配，都要求目标权限集合是调用者权限的子集。超出部分直接拒绝，并记录尝试。

递归风险

分配角色等同于间接分配权限，校验时要展开角色的实际权限集合，而不是只比较角色名。

自我提权

禁止修改自己所属的角色，或要求第二个管理员确认。单人即可完成的提权路径都应该被堵住。

测试

编写用例覆盖：低权限管理员授予高权限、给自己加角色、通过修改角色间接提权。这三条是回归重点。