3.4 身份认证与权限控制

登录成功只是建立身份上下文，授权仍要在每次受保护操作中判断。授权策略不应只有 isAdmin 一个布尔值。真实规则可能与组织、租户、资源所有者、成员关系、数据敏感级别、时间和审批状态有关。