管理系统的权限，不能只做一个“隐藏按钮”

隐藏按钮改善界面体验，服务端授权才决定请求能否执行。权限设计需要覆盖角色、操作和数据范围，并在每一次实际访问时核验，而不是相信浏览器传来的身份字段。

分别定义登录与授权

登录确认访问者身份，授权判断其是否可以执行本次操作。同一管理员也可能只能管理某个门店。将角色、资源操作和数据归属一起列成权限矩阵，避免一个“管理员”标签拥有所有能力。

在服务端限制资源范围

读取订单或修改商品时，从当前会话获得身份并校验资源归属。用户在地址栏修改编号、直接调用接口或重复旧请求时，仍必须经过同样的校验。新接口默认拒绝未明确允许的访问。

单独审视高风险操作

导出、批量修改、删除、角色分配和退款等操作需要明确权限及审计记录。不要把完整敏感字段先返回浏览器再用样式隐藏。停用账号或修改权限后，也要考虑已有会话何时失效。

用交叉角色测试发现越权

为普通用户、门店人员和平台管理员分别测试允许与拒绝路径。尝试访问他人资源、跨门店导出和以只读账号调用写入接口。测试应检查实际HTTP结果和数据变化，不能只确认按钮是否出现。