fpath要能从cookie中获取参数，否则就可以随意创建所有者为别人的信息，或者对创建后的信息做再做一次权限验证，验证通不过再自动删除也行。 也就是说执行了Create之后做权限验证。