Skeyevss FAQ：管理后台登录、权限与 API 错误
1. 登录失败：先分域排查
- 账号密码错误：锁定策略、大小写、复制空格；
- 时钟偏移：JWT/会话 token 校验失败（见 NTP FAQ）；
- 反向代理：未转发
X-Forwarded-*或错误终止 TLS，导致回调 URL 不匹配。
2. 登录成功但立刻被踢
- 权限变更后旧 token 失效；
- 浏览器插件拦截 Cookie。
3. 403 与业务权限模型
管理后台接口返回 403 时，可能是：
- 用户角色不包含该菜单/API；
- 数据范围限制（仅本部门设备等）；
- 临时维护模式关闭写操作。
对照《前后台权限模型》设计文档理解 RBAC + 数据域。
4. 401 vs 403（API）
- 401：未认证或 token 过期；
- 403：已认证但无权限。
排障时看响应体中的 错误码枚举（若项目有统一规范），避免凭 HTTP 码猜原因。
5. CORS 与 Web 前端
本地开发 localhost 调远程 API 时常见 CORS 预检失败；需后端允许来源或使用同源代理（Webpack devServer proxy）。
6. 与网关的关系
若前面还有 API 网关 做鉴权，可能业务未收到请求就被网关拒绝；需分层查看 网关日志 → Backend API 日志。
7. 安全建议
- 管理口 不对公网裸奔，应 VPN 或 IP 白名单；
- 定期审计管理员账号与权限变更记录。
登录权限问题 一半在 token/时钟/代理，一半在 RBAC；分层验证比反复改密码有效。
