前端做權限判斷，後端沒有再驗證

把按鈕藏起來不代表安全，後端一定要自己再檢查一次權限