精读代码库：画出一条写操作的权限调用链

选一个改变状态的操作，例如归档项目。把代码固定在同一提交，从界面事件找到服务端路由，再追到权限校验、数据写入和审计记录。先画出边界，再深入每个调用点。标出身份从哪里取得，以及哪个组件决定请求能否继续。

记录分支与依赖

为正常、无权限和写入失败三条路径各写一行。记录调用函数、输入参数、返回值和副作用。检查授权在服务端是否生效，数据库错误能否阻止成功响应，审计记录是否依赖独立任务。每条边附上文件和函数位置，便于复查。

用可控样例核对风险

准备管理员和只读用户两个测试身份，在临时项目上分别尝试归档。Webapp Testing 可以组织页面层的操作与结果核对。再用已有接口测试检查服务端拒绝分支。核对正常路径在刷新后保持归档，拒绝分支没有改变状态。

让图能指导下一次改动

把已观察的路径和仅由源码推断的路径分开标记。留下需要补查的异步任务或事务边界，写出会受权限规则修改影响的入口。交接时附上测试数据和提交号。