访问授权 Authorization

Authorization 是检查访问权限的过程。

• 系统先知道用户是谁，再对照角色或权限规则。
• 规则通过后，用户才能继续访问目标功能。

登录成功不代表拥有所有权限。

Authentication 确认“你是谁”，Authorization 判断“你能做什么”。

• Authorization 发生在身份确认之后。
• 同一个用户可能能看内容，但不能删除内容。

把登录状态和权限规则分开，安全边界更清楚。

授权判断可以拆成身份、权限和结果。

• 身份说明当前请求属于谁。
• 权限说明这个人被允许做什么。
• 结果决定放行还是拒绝。

请为后台设置页增加 Authorization：确认用户已登录后，再检查 settings:read 权限；没有权限就拒绝访问，不要只判断“是否登录”。