把用户、角色、资源都做成 fixture，权限测试用参数化矩阵覆盖；Playwright 用 `storageState` 复用不同用户登录态，业务逻辑尽量下沉到 API/服务层测，UI 只保留关键流程。修改权限规则后跑一遍矩阵，省很多手工操作。

这种自动续火花直接丢公网IP出来，抖音风控抓脚本特别狠，账号信息千万别往里填，封号没得商量。

前置条件别散落在每个用例里，丢conftest.py的fixture统一搞，登录会员配数据都在那准备，用例本身只断言业务，回归打@pytest.mark.smoke后用pytest -m smoke一把过。