权限验收需要回答三个问题：谁、对什么资源、可以执行什么动作；角色名称本身不能证明权限边界。
先画角色—资源—动作矩阵
角色可包括会议管理员、主持人、普通参会人、列席人员和运维管理员；资源应细分到会议、议题、文件、批注、表决结果和日志；动作则区分查看、上传、修改、下载、导出、授权和删除。
同时测试允许与拒绝路径
正向测试验证授权用户能完成任务，反向测试验证未授权用户无法通过直接链接、缓存、接口调用或角色切换访问。失败提示、服务端拒绝和审计记录应相互对应，不能只看页面按钮是否隐藏。
覆盖权限的建立、变更和回收
测试人员加入、临时授权、主持人变更、会议结束、账号停用和组织调整后的权限变化。特别核对已下载文件、终端缓存和历史会议入口是否遵循项目约定。
把管理员权力纳入审计
管理员的授权、重置、导出和删除操作同样需要最小权限和留痕。验收表应保存配置快照、测试账号、执行时间、预期与实际结果以及越权测试证据。