合成数据 / 不发送网络请求

授权不是一道门，是五层筛网

保持其他条件不动，只换一个角色、动作、状态或租户。最终结果由服务端事实共同决定，而不是由某个 tenantId 参数拍板。

实验对象

租户甲 · 文档 甲-17

设定这一次访问

1. 主体来自哪个租户？
2. 当前角色
3. 要执行什么动作？
变量控制提示：先用“甲成员读取甲普通文档”建立允许基线，然后每次只改一个条件。拒绝发生在哪一层，比“最后是不是 403”更有教学价值。

服务端最终决定

允许读取

允许

逐层判定

五层筛网

    最小证据面板

    解释决定，不复制秘密

    这里保留的是合成主体引用、租户、资源类型、动作、策略版本和原因类别。没有令牌、Cookie、文档正文或真实客户标识。