用途：当请求涉及创建、修改、审查或调试 Make App 单应用权限执行时使用本技能。它默认对每个生成或重构的 Make App 启用，不能因请求聚焦 UI、Service、Schema 或运行时工作而省略 IAM 代理、路由守卫、权限感知 Schema 或权限审计。本技能负责权限语义；登录/会话用 make-app-auth，Service 与 Schema 传输用 make-app-service，渲染用 makeui，单元格编辑器机制用 canvas-table-integration，打包/运行时用 make-app-runtime。
主要能力：暴露 /api/make/app/principal/permission，由 Service 以 App 范围、MakeService.GetResource 和既定登录上下文调用 /api/make/iam/v1/principal/permission，作为直接 Make 代理原样返回 IAM 响应（含状态码、Content-Type、body）。支持精确、通配、父级、App、实体、IAM 命名空间通配 App 资源匹配，最具体允许优先、拒绝优先。将创建、可见性、可编辑性作为独立字段集决策：创建表单为 createFields ∩ meta.field.read fieldAccess；列表/详情/过滤为 fields ∩ meta.field.read；编辑/单元格编辑为可见字段 ∩ meta.field.update。实体导航、表头与记录数据相互独立。保留字段返回的每个访问状态，支持数组或标量字符串归一化。缺失 createFields 视为空，不回退到 fields。创建入口与提交仅由 data.record.create 控制，meta.field.create 不是平台权限点。提交前重算最新允许列表，禁止展开整个表单存储。排除 ID 与系统审计字段的创建能力。添加 App/对象/固定路由守卫，隐藏菜单不等于授权。在数据刷新前于同一访问代次刷新权限与裁剪后的 Schema。权限或 Schema 失败时失败关闭。
使用方式：先阅读 references 下 permission-boundaries、service-principal-permission、ui-permission-runtime、system-field-contract、testing-and-audit 等文档，先写测试再实现。运行宿主测试、行为一致性套件及 node skills/make-app-permission/scripts/audit-make-app-permission.mjs <project-root>，并将两项权限检查接入宿主默认测试、CI 或发布门禁。发布或安装时运行 check-installed-skill-sync.mjs 并显式传入源与安装目录。
限制：审计为启发式，不能替代运行时测试；失败视为阻塞项，警告视为审查项。适配器必须委托生产权限助手，不得在测试中重实现。不要将其他工作区检出或开发者主目录路径硬编码进可移植 CI。资料未提供具体收费、价格、平台支持范围等信息。