企业后台系统的好坏，要等到交付一年之后才能看出来。功能任何人都可以编写，但是权限是否能经受住业务的变化、日志是否可以还原出操作现场、接口是否可以由其他人来维护。
权限模型应该从角色开始，但是要预留扩展的位置。用户挂角色、角色挂权限点，权限点按照“模块-操作”的方式命名；菜单渲染和接口校验共用一套权限定义，防止页面可见但是请求被拒绝的情况发生。数据权限是最容易返工的地方：不同的分公司、不同的岗位所看到的数据范围不一样，实现上以查询作用域集中封装，禁止在各个地方手写条件。
审计日志的原则是记录动作而不是记录一切。登录、授权变更、数据删除与导出、关键配置修改这四类必须记，内容包括操作人、时间、来源地址、变更前后的值；日志表独立存储，只追加不删除，应用账户没有删除权限。日志写得太详细反而会淹没重点，检索需求决定了粒度。
接口设计要约定三件事。响应结构统一，状态码和业务码分工明确；列表接口的筛选、排序、分页参数命名全局一致；写操作一律走表单验证层，错误信息按字段返回。文档与代码一起生成，注释就是文档，防止版本迭代之后文档失真。
上线之前要做的两件事：越权测试要覆盖所有接口，横向和纵向都要进行一次；备份恢复演练、日志检索演练各做一次，后台系统的安全性就取决于这些“用不上”的部分了。