上线前夜别只测功能：一份能拦住低级事故的权限与路由交叉核对法

很多插件在开发机上跑得顺，一上测试服就出怪事：菜单点进去 403、路由跳转丢参数、配置改了不生效。问题往往不在代码逻辑，而在“权限、路由、菜单、配置”四者之间的对应关系没有做交叉核对。下面这套方法不按模块顺序查，而是按“用户从点击到看到结果”的路径反向验证，适合上线前集中过一遍。

第一步：从菜单入口反查权限节点

打开后台，把新增的每个菜单项依次点一遍。不要只看能不能打开，重点看三件事：菜单链接里的路由参数是否完整、当前登录账号是否真的拥有对应权限节点、以及没有权限的账号访问时是返回 403 还是直接 404。如果无权限时返回 404，说明路由注册和权限拦截的先后顺序有问题，后期排查会非常痛苦。

第二步：用低权限账号走一遍完整操作

准备一个只有基础权限的测试账号，从菜单点击进入，到提交表单、保存配置、触发回调，完整走一遍。这一步最容易暴露“前端隐藏了按钮但接口没校验”的问题。如果低权限账号能通过直接构造请求完成高权限操作，说明权限校验只做在了菜单或模板层，没有落到接口入口。

第三步：路由参数与菜单链接做字符串比对

把菜单配置里的链接和路由注册表里的路径逐条比对。常见坑是菜单里写了 ?mod=admin&op=setting，但路由注册时只认 mod=admin&op=config，结果菜单能显示、点击却进不去。另一种是路由带了可选参数，菜单链接没带，导致页面加载后参数丢失。建议直接复制菜单链接到地址栏手动访问，确认路由能独立解析。

第四步：配置项做“改-存-刷-读”四连

不要只测保存成功提示。改一个配置值，保存，强制刷新页面，再进后台看是否回显新值，最后到前台确认实际生效。重点检查缓存：有些配置保存后写入了文件缓存，但读取时走了另一条缓存键，导致后台显示新值、前台仍是旧值。如果配置涉及多语言或分站，还要确认不同站点读到的值是否隔离。

第五步：权限、路由、菜单、配置的交叉矩阵

画一张简单的表：行是角色（管理员、版主、普通用户），列是菜单项。每个格子填三样东西：菜单是否可见、路由是否可达、配置是否可改。填完会发现有些格子是“可见但不可达”或“可达但不可改”，这些就是上线后最容易接到反馈的地方。优先修掉“可见但不可达”，因为它直接造成用户困惑。

这套核对法不依赖自动化工具，一个人半小时就能过完。关键是把四个模块当成一条链路来查，而不是分开测。上线前多花这半小时，能省掉上线后半夜被叫起来查权限的麻烦。