RBAC 通配符与权限边界

RBAC 的通配符匹配能让权限配置简洁，但容易藏住越权。

匹配规则

admin.users.* 覆盖 users 下所有动作，admin.* 覆盖整个后台。匹配顺序要固定，先精确后通配，避免同一请求命中两条冲突规则。

敏感动作例外

退款、发放积分、改角色、改设置不进入通配符覆盖范围。即使角色拥有 admin.payments.*，也不能自动获得退款权限。

代码层校验

前端隐藏按钮只是体验优化，服务端必须在每个写接口上做权限判断。批量接口要逐项校验，而不是只看入口。

审计

记录每次授权与权限变更，包含操作者、目标角色和变更前后集合。权限系统的 bug 通常只能靠日志回溯。