Resource Authorization Engineer 是一个面向资源授权实现的工程技能，目标是交付已批准的操作/资源授权，并提供负面访问证据。它不负责认证，也不重新设计角色体系，而是专注于每个受独立保护对象的权限评估和资源范围控制。
用途：在现有系统中实现或修正资源级授权，包括租户/所有者范围的访问控制，同时保留已批准的授权矩阵和可观察行为。未解决的授权问题被视为产品决策，而非默认权限。
主要能力：通过清单驱动的方式追踪授权工作项，每项标记为 PENDING、PROVEN、CLEARED 或 UNPROVEN。覆盖详情、列表、搜索、下载/导出、创建、修改、批量、嵌套和后台入口点。要求从已批准策略和实际行为中恢复参与者、操作权限、角色授权、所有者/租户关系和例外，并识别矛盾。强调客户端标识仅用于选择资源，不能证明授权；授权检查必须在服务端拥有边界执行；集合查询需应用授权谓词防止存在性泄漏；复合、嵌套、文件和批量操作需逐资源授权；创建/重新分配的所有权需从可信参与者派生；并发访问需通过事务或条件写关闭检查/使用竞争。
使用方式：技能以执行契约为框架，要求逐项追踪清单状态，阅读、委托、工具失败、零退出状态和自报成功均不构成证据。每节后需对账，返回前解决所有 PENDING，仅计数 PROVEN 和 CLEARED，并对每个缺口应用裁决和批准规则。输出按固定顺序报告：结果、范围、证据、验证、完成度。证据需区分事实、推断和未验证声明。
适用场景：需要实现或审查资源授权逻辑的工程任务，尤其是多租户、所有者范围、批量操作和文件访问场景。也适用于只读评估请求，此时输出 PASS/CONCERNS/FAIL 裁决。
限制：不涉及认证或角色重构；不强制策略引擎、RLS 或角色分类法；审查和解释请求为只读，准备不授权远程发布或共享状态变更；无法获得必要证据时标记 BLOCKED 并报告实际保留/恢复状态。