隐藏按钮不能替代页面级权限控制

即使已经通过隐藏”创建”按钮限制了某个角色发起某个操作的入口，仍然必须在页面/接口层面单独做权限校验——因为用户只要知道对应页面的URL，即便界面上看不到入口，也能直接访问，绕开前端的隐藏逻辑。发散：这是前端权限控制和后端权限校验必须两层都做的一个具体例证——前端隐藏解决的是体验问题（不让不该操作的人看到无意义的按钮），后端校验解决的才是安全问题，只做其中一层，功能权限设计等于形同虚设。