仅前端隐藏“下载全部”按钮，已登录用户仍能直接请求导出API。真正整改应落在哪里？ {{ select(1) }}

• 只校验浏览器来源
• 后端每次请求按角色与对象授权
• 只要求前端附上允许标记
• 只在CSS层禁止按钮

满分 2 分。数据安全技术人员 · 访问控制与身份鉴别 · 基础。题族 SEC-F032，同题族不要出现在同一张卷。状态：内部待专家复核。组卷：待审通过后可用。