用途：管理钉钉 PAT 行为授权，以及本地浏览器策略。与 dingtalk-dev（开放平台应用权限，命令 dws dev app permission，需切到 dingtalk-dev）不同，PAT 行为授权不涉及开放平台应用权限。
前提：先阅读 dws-shared skill，了解认证、全局参数、产品路由、Schema 发现、错误处理与安全规则；dws 可执行文件需在 PATH 中。命令参考见 pat.md。
主要用法（按用户意图）：允许或禁止 PAT 授权时打开浏览器：dws pat browser-policy --enabled / dws pat browser-policy --enabled=false。预览某产品或 scope 的行为授权：dws pat chmod ... --dry-run --format json。授予一次性、会话或永久行为权限：dws pat chmod ...，先预览并确认，再加 --yes 执行。
安全边界：browser-policy 只修改本地策略，不授予业务权限。chmod 会改变 Agent 可执行范围；应先用 --dry-run 展示 scope、授权类型和有效期，得到用户明确确认后才可加 --yes。
状态说明：试验版/Preview，multi 模式尚未达到 stable 标准；所有 dingtalk-* skill 已通过 dispatch verifier，但接口、命名、跨 skill 引用后续可能调整。生产或共享环境请优先使用 mono 模式（dws skill setup --mode mono）。
限制与未提供信息：除上述命令与安全说明外，官方资料未提供完整参数表、各授权类型的具体有效期、适用产品清单、错误码明细、计费或价格信息，亦未提供图形界面说明；这些内容暂未提供。