# 模块 3：若依场景中的幻觉死循环

<div class="mt-6 text-sm">

**常见表现：**
- AI 说所有接口都有权限校验 → 但不给 Controller 依据
- AI 说操作日志完整 → 但不给注解或 AOP 依据
- AI 说按钮权限安全 → 但只看到前端代码
</div>

<!--
在若依项目里，AI 很容易因为它“知道若依是权限系统”就过度自信。
它说所有接口都有权限校验，但不给 Controller 依据。
它说操作日志完整，但不给注解或 AOP 依据。
它说按钮权限安全，但只看到了前端按钮隐藏。
这就是需要切断的幻觉。
-->

---

# 幻觉控制顺序

<div class="grid grid-cols-3 gap-4 mt-10">
<div class="text-center p-6 rounded-xl bg-blue-500/10 border border-blue-500/30">
<div class="text-2xl mb-2">1️⃣</div>
<div class="font-bold">先找证据</div>
</div>
<div class="text-center p-6 rounded-xl bg-emerald-500/10 border border-emerald-500/30">
<div class="text-2xl mb-2">2️⃣</div>
<div class="font-bold">再判断原因</div>
</div>
<div class="text-center p-6 rounded-xl bg-amber-500/10 border border-amber-500/30">
<div class="text-2xl mb-2">3️⃣</div>
<div class="font-bold">最后给方案</div>
</div>
</div>

<!--
遇到这种情况，不要继续让 AI 给结论。
先让它找证据：文件、类、方法、注解、调用关系。
然后再判断问题。
最后才给方案。
-->

---

# 若依证据收集 Prompt

<div class="mt-4 p-4 rounded-xl bg-blue-500/10 border border-blue-500/30 text-sm">

```
请先不要修改代码。请围绕"用户管理删除按钮权限"收集证据：
1. 前端按钮在哪个页面
2. 使用了哪个权限字符
3. 前端如何判断按钮显示
4. 后端删除接口在哪里
5. Controller 是否有权限注解
6. 是否记录操作日志
7. 无法确认的内容
```

</div>

<!--
这是若依场景下的证据收集 Prompt。
它没有直接问“有没有风险”，而是先要求 AI 找证据。
前端按钮在哪里，权限字符是什么，前端怎么判断，后端删除接口在哪里，Controller 是否有权限注解，是否记录操作日志，哪些无法确认。
这些证据收集完，才能判断风险。
-->

---

# 原因判断 Prompt

<div class="mt-4 p-4 rounded-xl bg-emerald-500/10 border border-emerald-500/30 text-sm">

```
请基于证据判断风险：
- 每个风险必须对应文件、函数或注解
- 区分已确认事实和推测
- 无法确认的内容写入不确定点
- 不要直接下安全结论
```

</div>

<!--
第二步是原因判断。
比如发现前端按钮有权限字符，但后端删除接口没有找到权限注解。
这时可以说“存在接口级权限待确认风险”，但不能直接说“系统不安全”。
如果没有看到后端文件，也要写无法确认，而不是猜测。
-->

---

# 方案生成 Prompt

<div class="mt-4 p-4 rounded-xl bg-amber-500/10 border border-amber-500/30 text-sm">

```
请基于已确认风险给出方案：
修改文件 · 修改方法 · 新增或调整权限注解 · 
是否需要操作日志 · 影响范围 · 验证方式 · 测试建议
```

</div>

<!--
第三步才给方案。
如果确认证据显示后端接口缺少权限注解，才建议补权限注解。
如果敏感操作缺少日志，才建议补操作日志。
每个方案都要说明文件、方法、影响范围、验证方式和测试建议。
-->