用途：回答“用户 u 是否对资源 r 拥有执行操作 a 的权限”，通过展开用户权限链并静态评估策略文档给出参考性判断。
主要能力：解析用户 ID；展开权限链（用户直挂策略、所属用户组及其策略与角色、委托 Agency）；获取策略文档；按策略文档评估 Allow/Deny 并给出置信度；输出结论、精度等级与链路追踪。支持用户组级、委托级真实检查，以及策略文档与授权 schema 元数据获取。
能力边界：不提供用户级权限模拟（无 SimulatePrincipal API），因此结论仅为“大概率有权限/大概率无权限/不确定”，非权威鉴权结果。需要 100% 确定时应前往 IAM 控制台、实际调用 API 或查看 CTS 审计日志。
使用方式：需 Python 3.7+ 及 huaweicloudsdkcore、huaweicloudsdkiam（>=3.1.140），凭证可用环境变量 HW_ACCESS_KEY/HW_SECRET_KEY 或 KooCLI 配置 ~/.hcloud/config.json。先运行 bash skill://scripts/check_env.sh 检查环境。核心命令：python3 scripts/diagnose_user_permission.py --user_name=<user_name> --action=<action> [--resource=<resource>]；链路追踪 python3 scripts/trace_permission_chain.py --user_name=<user_name> [--json]；真实检查 python3 scripts/check_group_permission.py 与 check_agency_permission.py。所有命令为只读。
适用场景：排查 IAM 权限配置、验证用户组或委托角色授权、梳理权限继承链。
限制：部分链路列举与检查接口需 IAM 管理员/查看权限，凭证不足时返回 HTTP 403，结论仅基于可读数据；v3 与 v5 的 group-id 格式不同；含 Condition 的自定义策略、委托叠加场景置信度低，仅供参考；CLI 原生 HEAD 检查接口无法区分有无权限，建议使用 SDK 脚本。