前端藏起来的按钮不算权限
收录 2026-10
界面按角色隐藏入口，但接口没校验，直接调接口就能越权操作
前端根据角色隐藏了 [功能入口]，后端接口却只校验是否登录。请逐个核对被隐藏功能对应的接口，确认服务端有独立的权限判断，并补齐缺失的校验。输出：入口与接口的对应表、每个接口当前的校验情况、需要补的权限点、以及验证方式（用低权限账号直接调用接口）。
本站原创
中文原文
使用示例
示例输入
前端按角色隐藏了退款入口，后端只校验是否登录，逐个核对并补齐权限判断。
输出应包含
- 给出入口与接口的对应清单
- 每个接口当前的校验情况列清
- 用低权限账号直调接口验证
复制前替换这些占位符 1
把方括号里的内容换成你的具体信息，替换后再粘贴给 AI。
[功能入口]
使用建议
权限判断要基于服务端的当前角色，别信前端传来的角色或菜单标识。
可以这样改
- 要求它先复述需求与约束，确认无误再写代码。
- 让它给出最小改动 + 回滚方式，而不是整文件重写。
交付物（这次应拿到什么）
- 可运行的最小改动（含直接可用的代码块）
- 影响面清单：改了哪些文件、哪些调用点要跟着改
常见错法
- 一次让它改十个文件，最后分不清哪处改动导致了新问题。
- 只贴报错不贴代码和版本，拿到无法落地的修法。
输出验收（怎么判断能用）
- 改动可运行、可回滚，且没顺手改无关代码。
- 边界条件（空值、超长、并发）有说明或测试。
适用场景与注意
- 适合：让它先复述需求和约束，再给最小可运行改动。
- 注意：贴报错时同时给版本号与最小复现，否则它容易给出看似合理但不适配的写法。