用途：通过 docyrus acl CLI 端到端设计、配置并验证 Docyrus 租户 ACL。ACL 含五个概念：Role（角色，命名权限组）、Hierarchy Unit（组织树节点，用于基于组织架构的行级安全 RLS）、Role Query（附加到角色的行级过滤）、Operation（系统定义权限标识，只读）、Rule（将角色绑定到目标并列出允许的操作）。
主要能力：创建/更新/删除角色、层级单元、角色查询与规则；列出系统操作；校验配置。
使用方式：先确认认证 docyrus auth who --json，无会话则运行 docyrus auth login。再按顺序：用 docyrus acl operations list --targetType <类型> --json 查看可用操作；创建角色（如 docyrus acl roles create --slug "crm-viewer" --name "CRM Viewer" --json）；按需创建层级单元（先父后子）；创建角色查询（--query 为 JSON 字符串，--restrictionLevel 取 hidden|read-only|not-deletable）；创建规则（--targetType 默认 data_source，--allowedOperations 逗号分隔）；最后用 list/get 校验。
限制：操作只读，不能创建或修改；每个（角色×目标）只能有一条规则，重复创建返回 500；层级单元有子节点时不能删除；归档（--archived true）为软禁用，删除为硬删除；payload 键必须为 camelCase；--targetType 用下划线，--restrictionLevel 用连字符。配置后建议以对应角色用户登录测试。