从角色到动作：整理一份可落地的权限矩阵
权限不仅决定能看见什么，也决定能操作哪一条数据。
把角色与数据范围分开
管理员、经办人和查看者是角色；本人、所属团队和全局是数据范围。先分开描述，再组合成具体规则，可以减少代码中的零散例外。
按业务动作建立矩阵
列出查看、创建、修改、审核、导出等动作，再确认每种角色的数据范围。对敏感字段的完整读取，还应考虑独立权限和审计。
在后端执行相同规则
前端隐藏按钮只影响体验，不是权限保护。后端需要对每次请求检查身份、目标对象和允许执行的动作。
补上拒绝场景
验收时除了成功路径，也要检查匿名访问、跨账号访问、已撤销权限和对象被删除后的行为。失败必须可识别，不能返回另一条数据作为替代。
