必须用不同账号实际操作验证权限是否真实起效：管理员可导出Excel，审核员该按钮应隐藏，普通用户上传超大文件应提示大小限制；通过Network查看状态码、应用日志筛选RBAC拒绝记录、修改权限后检查字段可编辑性三步交叉验证。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
要验证码上飞AI生成的应用中管理员、审核员、普通用户等角色的权限限制是否真实起效，不能只看后台设置界面是否勾选，必须用不同账号实际操作关键功能并观察响应变化。
准备多角色测试账号
在码上飞平台中，一个应用默认生成三类角色：管理员（可编辑全部菜单与按钮）、审核员（仅能查看+审批类操作）、普通用户（仅能提交表单）。但这些角色需绑定真实账号才可触发权限校验逻辑。
方法一：使用同一手机号注册三个不同微信授权子账号（推荐）→ 进入“团队管理”→ 点击“邀请成员”→ 分别以“管理员”“审核员”“普通用户”身份发送邀请链接 → 待三人各自扫码完成绑定。
方法二：用三个不同手机号注册独立账号 → 在“应用设置→权限体系”中手动将各手机号分配至对应角色 → 【注意：分配后必须点击右下角“保存并刷新权限缓存”按钮，否则前端不加载新规则】。
执行三步交叉验证操作
第一步：用管理员账号登录 → 进入应用 → 打开“用户管理”页面 → 点击右上角“批量导出Excel”按钮 → 确认弹窗出现且导出成功。
第二步：切换为审核员账号登录 → 同样进入该应用 → 导航至“用户管理”页 → 观察顶部菜单栏是否已隐藏“批量导出Excel”按钮 → 若仍可见，说明权限未生效，需返回后台检查该按钮是否被错误配置为“全员可见”。
第三步：用普通用户账号登录 → 尝试在“提交申请”页点击“附件上传”区域 → 输入超大文件（如300MB视频）→ 查看系统反馈：若提示“文件大小超出限制”，说明权限层下的字段级约束（如附件类型/大小）已启用；若直接卡死或无响应，则知识库未加载校验规则，需触发一次“知识刷新”。
检查权限失效的典型信号
方法1：打开浏览器开发者工具（F12）→ 切换到Network标签 → 在应用内执行一个受控操作（如点击“删除记录”）→ 查看请求返回状态码。若返回200但页面无反应，大概率是前端按钮被JS隐藏而服务端未做校验；若返回403 Forbidden，说明服务端权限拦截已生效。
方法2：在管理员账号下，进入“应用日志”→ 筛选时间范围为最近5分钟 → 执行一次普通用户尝试越权操作（如访问 /admin/users）→ 若日志中出现“RBAC拒绝：角色[guest]无权限访问路径[/admin/users]”，即确认权限引擎正在运行。
方法3：临时修改某角色权限 → 勾选“允许普通用户编辑数据”→ 保存 → 立即用普通用户账号刷新页面 → 检查原只读字段是否变为可编辑态 → 若未变，说明前端权限缓存未更新，需清除浏览器localStorage中以“msf-perm-”开头的键值对。
