角色权限：从按钮可见走到资源级校验

以作者、审核者和管理员为例，把读取、修改、审核与管理拆成权限矩阵，再叠加资源归属和内容状态，每次请求执行服务端检查，避免只靠前端隐藏按钮或相信客户端传来的角色。