Authentication Works but Authorization Fails（认证成功但授权失败）
知识库位置：
FDE Knowledge Base/03 Engineering/Troubleshooting/Authentication-Works-But-Authorization-Fails.md
Problem（问题）
Section titled “Problem（问题）”用户能够成功登录，但执行某项操作时持续收到：
403 Forbidden（已认证但无权限）Important Distinction（重要区分）
Section titled “Important Distinction（重要区分）”401（未认证）→ Who are you?（你是谁？）
403（已认证但无权限）→ I know who you are, but you cannot do this.（我知道你是谁，但你不能做这件事）Possible Causes（可能原因）
Section titled “Possible Causes（可能原因）”- Role mapping（角色映射）错误
- Group sync（用户组同步）延迟
- Token Scope（令牌权限范围）不够
- Backend Policy（后端策略）错误
- Resource-level permission（资源级权限）缺失
- Agent（智能体）没有正确传递用户身份
- Service Account（服务账号）权限与 User（用户）权限冲突
Diagnostic Flow（诊断流程）
Section titled “Diagnostic Flow（诊断流程）”User Identity（用户身份）↓Token Claims（令牌声明）↓Role / Group（角色/用户组）↓Application Permission（应用权限）↓Resource Permission（资源权限）逐层检查。
Agent-specific Risk（Agent 特有风险）
Section titled “Agent-specific Risk（Agent 特有风险）”常见错误：
User（用户）↓Agent（智能体）↓Shared Service Account（共享服务账号）导致：
- 所有人看起来权限相同
- 无法正确实施 User-level Authorization（用户级授权）
更合理：
User Identity（用户身份）↓Agent（智能体）↓Policy Check（策略检查）↓User-scoped Access（用户级数据访问）Prevention（预防）
Section titled “Prevention（预防）”建立权限测试矩阵（Permission Test Matrix，权限测试矩阵）：
| Role（角色） | Read（读） | Write（写） | Delete（删） | Approve（审批） |
|---|---|---|---|---|
| Viewer（查看者） | Yes | No | No | No |
| Operator（操作员） | Yes | Yes | No | No |
| Manager（经理） | Yes | Yes | No | Yes |
| Admin（管理员） | Yes | Yes | Yes | Yes |