为什么超媒体动态权限仍需要服务端最终校验？ 前端隐藏无权限入口只能改善体验，不能作为安全边界。 用户仍可能手动构造请求或复用旧链接。因此服务端在执行操作前必须再次校验权限，并返回 403、404 等错误作为最终防线。