而且发现删除_User表中所有数据以后,还能用原来的用户 sessionToken 来操作。能拿到原来的用户数据。

这个是特殊的删除操作,不会触发 hook ,而且不会清理用户缓存。sessionToken 是有缓存的,所以还能拿得到。

了解了。本意是想阻止有后台权限的人误操作删除数据