登录、令牌使用、刷新和退出应怎样形成认证回归用例？

追问正确凭据、错误凭据、令牌过期和账号禁用各检查什么？怎样至少保留一组真实认证流程，而不是始终注入已登录用户？

怎样用权限矩阵覆盖游客、学员、老师和管理员？

追问读写操作与资源归属怎样组合？角色被允许访问接口，是否意味着可以访问任意班级或任意用户的记录？

追问用用户 A 的身份访问用户 B 的报告，路径、查询和请求体标识怎样分别替换？拒绝后如何验证没有数据泄漏或副作用？

追问空结果、筛选组合、重复排序值和非法分页怎样测试？为什么只断言返回条数可能漏掉越权记录、重复记录或不稳定排序？

追问重复请求、删除后的再次访问和部分字段更新怎样约定？如何确认失败请求没有留下半完成数据？

追问日期时区、金额精度、枚举、可空字段和缺失字段怎样检查？是否应该对所有响应使用完整文本快照，动态字段如何处理？

追问符合类型的错误成绩、无权限记录和错误分页是否可能通过结构校验？接口描述与真实响应不一致时怎样发现并追踪？

追问新增必填输入、修改类型和改变错误结构怎样影响旧请求？如何保留典型旧请求样本，明确版本与废弃规则？

追问命中与回源、更新后失效、限流边界和重复请求分别观察什么？怎样控制时间与键空间，避免测试依赖等待实际 TTL？

追问大小、格式、空文件、下载归属与输出内容怎样检查？怎样验证密码散列、内部路径和其他用户字段没有进入响应？