用途：本技能指导如何通过 lark-cli 操作飞书资源，并说明使用中的注意事项，属于飞书工作流 CLI 的共享基础规则。
主要能力：
- 配置初始化：首次使用需运行 lark-cli config init 完成应用配置。帮用户初始化时，用 background 方式执行 lark-cli config init --new，启动后读取输出，提取授权链接发给用户。
- 认证与身份：支持两种身份，通过 --as 切换。user（--as user）通过 lark-cli auth login 获取，用于访问用户自己的资源（日历、云空间等）；bot（--as bot）只需 appId + appSecret，用于应用级操作。输出中的 [identity: bot/user] 表示当前身份。
- 身份差异：bot 看不到用户资源，无法访问用户日历、云空间文档、邮箱等；bot 无法代表用户操作，发消息以应用名义发送，创建文档归属 bot。bot 权限只需在开发者后台开通 scope，无需 auth login；user 权限需后台开通 scope 加用户 auth login 授权，两层都要满足。
- 权限不足处理：错误响应含 permission_violations（缺失 scope）、console_url（后台权限配置链接）、hint（修复命令）。bot 身份应将 console_url 提供给用户去后台开通 scope，禁止对 bot 执行 auth login。user 身份可用 lark-cli auth login --domain <domain> 按业务域授权，或 lark-cli auth login --scope "<missing_scope>" 按具体 scope 授权（推荐，符合最小权限原则）。auth login 必须指定范围，多次 login 的 scope 会累积。
- Agent 代理认证：作为 AI agent 帮用户认证时，用 background 方式执行 lark-cli auth login --scope "calendar:calendar:readonly"，并将授权链接发给用户。
安全规则：禁止输出密钥（appSecret、accessToken）到终端明文；写入/删除操作前必须确认用户意图；用 --dry-run 预览危险请求。
限制：具体可用 scope、业务域及平台支持范围暂未提供。