Постройте матрицу действий

Разделите просмотр, создание, изменение, экспорт и выдачу прав. Учитывайте подразделение, владельца объекта и состояние процесса.

Что проверить

  • Проверяйте доступ на сервере, а не только в интерфейсе.
  • Разделяйте обычные и административные действия.
  • Записывайте изменения прав и критичные операции.
  • Проверяйте отзыв доступа после смены роли.

Начинайте с запрещённых сценариев

Пользователь не должен получить чужие данные через прямой адрес, экспорт или API. Проверка видимости кнопок — только малая часть проверки доступа.