一旦命中显式拒绝，即使其他策略里有 Allow，最终还是拒绝。常见报错里可能会看到： with an explicit deny in an identity-based policy 或者： with an explicit deny in a service control policy 看到 explicit deny 时，不要继续给用户追加 Allow 权限。
因此鉴权不能只判断“用户是否登录”，还要判断用户是否有权访问被输入给模型的资源。
□ 依赖：引入的第三方包是否是最新安全版本？□ HTTPS：是否强制使用了 HTTPS？
NET 10 测试数据： ExcelSheetXML：模拟真实 Excel sheet XML 结构（含行标签、单元格、共享字符串、数值等典型模式），规模 1K ~ 300K 行 Random：随机字节数据（1MB, 9MB） Repeating：重复字符串数据（1MB, 9MB） 测试方法：每种引擎多次迭代取平均值，预热后测量 三方压缩引擎 1.