水平越权、垂直越权与对象级授权缺失有什么区别？

追问学员读取他人报告、普通用户调用管理接口分别属于什么问题？为什么隐藏按钮或使用随机资源 ID 不能替代服务端检查？

把请求字段直接赋值给 ORM 模型，可能产生什么权限风险？

追问 role、owner_id、tenant_id 和审核状态等字段应由谁控制？怎样使用明确的输入模型与允许字段，避免批量赋值修改受保护属性？

追问当前身份、租户成员关系与客户端选择的 tenant_id 如何核对？数据库查询、缓存键、导出任务和消息订阅怎样贯穿同一范围？

追问权限过滤应在分页前还是结果输出后处理？总数、聚合统计和错误消息怎样可能泄漏其他用户信息，批量操作如何逐项授权？

追问学员答案、老师评语和内部审核信息分别对谁可见？详情、列表、导出与实时通知是否使用一致的字段规则？

追问班级归属、报告状态或资源拥有者在两步之间变化时会怎样？事务、条件更新和版本检查如何配合，而不是只在入口检查一次？

追问签发前的授权、对象范围、有效期和链接泄漏怎样考虑？权限撤销后已有链接能否继续使用，怎样明确失效能力与限制？

追问提交任务时与执行、下载时分别检查什么？用户退出班级后，已订阅房间和待发送消息怎样停止，不能只信任任务参数的原因是什么？

追问幂等键、唯一约束、原子状态转换与事务各解决什么？用户修改前端分数或重复提交请求时，服务器怎样维护可信结果？

追问集中策略、角色规则和资源归属怎样配合？如何通过权限矩阵与回归测试发现漏加检查的接口，而不是依靠代码评审记忆？

权限核对资料： OWASP：Authorization。