ASILO：评估边界与影响¶

ASILO 0.1 现行的说明性指南。每项测试都要标明契约、版本、环境、配置、场景、预期结果、实际观察到的结果以及限制。不能因为汇集了一份有利的测试清单，就宣称安全已经完备。

场景	示意性检查
被禁止的依赖	检查能发现该关联，包括其范围所覆盖的间接路径。
格式错误的输入	被拒绝，且不会执行所请求的操作。
有效但无权限的输入	契约有效并不能避免权限被拒绝。
不同的资源或上下文	权限不会在所声明的范围之外被复用。
有效期或撤销	相关的检查点依据契约拒绝已过期或已被撤回的权限。
一次性使用与并发	该机制遵守所声明的使用次数和影响。
已缓存的数据	来自缓存的响应不会绕过当前有效的授权。
延迟执行的工作	队列或重试依据应用配置保留或重新检查权限。
后续故障	区分已发生的影响、响应失败和可能的补偿。
上限耗尽	停止时保留已完成事项的证据，并且不产生新的被禁止的影响。
不可信代码	明确说明环境边界；模块和类型并不能证明隔离。

否定的结果可能揭示一个缺陷，也可能说明适用条件定义有误。报告应当同时保留二者，并避免仅为了让测试通过而修改预期结果。残余风险和未检查的场景应保持可见。

在声明满足 ASILO 要求时，要引用该要求及其适用条件。MILPA 可以用来组织来源、权威和证据。本指南不会自动扩大这两种方法中任何一种的范围。