Access Control & RBAC 是一个专注于访问控制与授权策略的技能，核心目标是帮助开发者实现完整的基于角色的访问控制（RBAC）系统，并涵盖权限管理、属性基策略以及最小权限原则。
用途 该技能适用于需要构建安全访问控制系统的场景。资料明确列出的适用场景包括：多租户应用、企业访问管理、API 授权、管理后台、数据访问控制以及合规要求。
主要能力
技能围绕 RBAC 与授权策略展开，涉及权限（Permission）与角色（Role）的建模、权限管理、属性基访问控制（ABAC）以及最小权限原则。资料中的最小示例展示了用 JavaScript 类实现的基础结构：Permission 类包含 resource 与 action 两个属性，并通过 toString 方法输出 ${resource}:${action} 形式的权限标识；Role 类包含 name、description、permissions 集合与 inherits 集合，并提供 addPermission 与 removePermission 方法用于管理角色权限。示例中 removePermission 的具体实现被省略，资料提示可查看参考指南获取完整实现。
使用方式 资料提供了快速开始（Quick Start）部分，给出一个最小可运行示例，文件名为 rbac-system.js。该示例展示了权限与角色的基本定义方式。此外，技能在 references/ 目录下提供详细实现指南，包括：Node.js RBAC 系统、Python ABAC（属性基访问控制）、Java Spring Security RBAC。使用者可根据技术栈选择对应参考指南进行实现。
最佳实践 资料列出了应遵循的做法（DO）：实施最小权限、使用角色层级、审计访问变更、定期访问审查、职责分离、记录权限、测试访问控制、使用属性基策略。同时列出应避免的做法（DON'T）：授予过多权限、共享账户、跳过访问审查、硬编码权限、忽略审计日志、使用角色爆炸。
适用场景与限制 该技能适合需要细粒度授权与权限治理的项目，尤其是涉及多租户、企业级访问管理、API 授权与合规要求的系统。资料未提供具体的安装命令、依赖版本、收费信息或平台限制，这些内容暂未提供。示例代码中的 removePermission 完整实现也未在资料中给出，需参考 references/ 目录下的指南。