授权系统能管到哪里
区块链授权系统的核心是检查调用账户是否具备执行某项操作的资格。它的直接作用范围是受权限规则约束的合约功能，例如铸造代币、冻结转账或管理角色。判断应用边界，需要同时看操作是否经过权限检查、判断依据是否在链上，以及执行对象是否由合约控制。
适用条件：权限能够明确表达
OpenZeppelin 的访问控制文档介绍了两类机制：Ownable 以所有者管理权限，AccessControl 按角色区分操作资格，并通过角色管理员授予或撤销权限。基础 AccessControl 可借助事件在链外追踪成员；链上枚举成员需使用相应扩展。
单一管理职责适合简单的所有者模型，多种职责则可以拆分角色。例如，创建代币与管理用户可以分别授权。适用前提是业务能够明确列出受控操作，并在相应入口落实检查；仅定义角色名称，不会自动保护其他功能。
身份与外部事实的边界
ethereum.org 的预言机文档说明，以太坊智能合约默认不能直接访问链外信息，需要预言机引入外部数据。这个连接机制同时带来数据正确性、可用性和更新方面的信任问题。
因此，某地址拥有认证角色，只能说明系统赋予了它相应资格。现实中的身份核验仍依赖核验方，合约不会仅凭角色记录判断证件真伪。类似地，使用外部资格状态作出授权决定时，错误或过期的数据可能导致不符合业务要求的结果。
管理员与执行能力的边界
操作权限与分配权限需要分开理解：能执行某项操作的账户，未必能把资格授予他人；角色管理员则可能通过重新分配权限影响系统控制权。评估授权结构时，既要看当前成员，也要看谁有权改变成员。
链上许可要作用于文件服务、门锁等链外对象，还需要外部系统读取并执行结果。合约记录了允许访问，不等于设备必然完成动作；外部服务是否可用、是否正确执行，都属于额外条件。
常见问题：撤权是否等于收回一切
撤销角色会影响后续依赖该角色检查的调用，不能据此认为此前完成的操作自动撤回。同样，取消某个入口的资格，也不代表其他角色或其他入口的权限同时消失。
多角色也不必然意味着权力分散：同一账户可能持有多个角色，管理权限也可能集中。放弃所有权则可能使受 onlyOwner 保护的功能无法再调用，因此权限退出还涉及维护能力，而不只是减少管理员权限。