寓言
差事册和城墙上的红线
一座城雇了许多差役，替官署送信、查账、调货、张贴告示。总管写了一本差事册，规定谁能进账房，谁能去码头，谁能找商户核验签名。每个差役按任务领牌，牌上写着可做的事。
差事册起初很好用。小差役拿着送信牌，只能进前厅；查账差役能进账房，但不能碰库银。总管看着记录，觉得权限已经分得够细，城里也因此少了许多口头请托。
后来差役学会把小牌串起来用。一个任务允许他取客户名册，另一个任务允许他给外城商户发信，第三个任务允许他临时生成通行证。单看每个牌都合理，合在一起却足以把敏感名册送出城外。
总管继续细化差事册，给每张牌补条件。可牌越多，组合越难算。有人问，若两个允许相加，能不能做第三件事；若一个临时牌来自上级，是否覆盖原限制。没人能在出事前回答清楚。
老城守在城墙上画了一道红线：任何差役，不管拿到多少牌，都不能把未批准的名册带出城，不能替自己签批，不能访问禁库。差事册仍然分派任务，红线专门挡住组合后的最高风险。
红线刚立时，有人嫌它碍事。一次紧急调货，差役被挡在禁库外，抱怨任务明明急。城守让总管走正式升级审批，而不是让差役绕线。后来查明，若当时放行，库里另一批货会被误发。
城里终于分清两件事：差事册让工作流动，红线让最坏情况停住。聪明的差役会寻找牌与牌之间的空隙，可靠的制度不能只看单次授权，还要限制所有授权叠加后的边界。 后来总管给每个新差役演示一次绕路：三张看似无害的小牌怎样连成危险路线。看过之后，没人再把细分授权当成唯一防线。每次新增工具牌，都要先贴到红线旁比一比。若比完发现能碰禁库，任务再急也要改流程，并留下拒绝记录。红线清楚，差役才知道哪里该停手。