用途：治理 Procore 的 DMSA 与用户访问权限，把访问控制视为 OAuth 主体、工具权限、已启用项目工具、项目成员、许可项目与公司路由的交集，而非依赖宽泛角色标签。
主要能力：建立端点与工具的权限矩阵；审查 DMSA 清单中声明的权限；核对安装时选择的许可项目与已批准租户范围；执行正向读取测试与预期拒绝测试；记录审批证据与回滚流程。
使用方式：先为每个端点记录公司级或项目级 Procore 工具及最低文档化权限，移除无调用方负责人的权限；发布新版本前比对声明权限与清单；列出安装时选择的项目并与批准范围比较；使用 App Management 与既定清单流程，避免目录级手工调整；对必需工具运行已批准读取，对未许可项目和不必要操作运行预期拒绝测试；记录应用版本、权限差异、项目范围差异、管理员决定、测试结果与回滚步骤，且不暴露租户数据。
认证：API 调用使用 OAuth 2.0 Bearer 令牌。Authorization Code 采用当前用户权限；DMSA Client Credentials 采用安装时建立的 DMSA 权限与许可项目配置。
限制与错误处理：403 需核查应用连接、工具权限、项目成员、许可项目与工具启用状态；已有资源返回 404 应视为权限假设而非不存在证明；清单新增宽泛管理员权限须逐项文档化并独立批准，否则拒绝；更新丢失项目范围需重新配置并重跑正反向测试。不得在无管理员批准时授予或撤销 Procore 访问权限。