操作權限與資料範圍分開寫
| 角色 | 查看 | 修改 | 批核 | 匯出 |
|---|---|---|---|---|
| 申請人 | 自己的申請 | 只限自己未提交的草稿 | 不可 | 不可 |
| 組別批核人 | 指定組別 | 退回更正，不暗中改資料 | 指定組別，自己申請除外 | 不可 |
| 財務查閱同事 | 已批准紀錄 | 不可 | 不可 | 只限已指定的財務欄位 |
| 帳戶管理員 | 預設只看帳戶狀態，不看申請內容 | 按政策調整角色 | 不因此取得業務批核權 | 預設不可匯出業務資料 |
這些角色只是例子，須按公司安排修改。權限要同時寫操作及資料範圍。「管理員」若把帳戶維護與業務決定全混在一起，便難以核對。OWASP 建議只授予工作需要的權限；未獲授權的操作預設拒絕。
不能做的操作也要測試
唯讀用戶看不到修改按鈕，驗收還要測試甚麼？
查看參考答案
直接向應用程式提交同一修改請求，應遭拒絕，原紀錄不變。再用已知的假設編號，測試能否存取其他組別紀錄。
撤回角色及臨時授權到期也要重測。測試紀錄附上已批准的政策版本，才可分辨是權限政策改動，還是軟件缺陷。