权限模型从「谁能看」到「为什么能看」

白名单回答的是「谁」，审计问的是「为什么」。当两者不再是同一个问题，权限模型就该换主键了。