用途：帮助用户撰写、审查和排查 Tailscale 私有网络的策略文件（ACL），文件采用 HuJSON（支持 // 与 /* */ 注释、数组和对象末尾可加逗号），默认拒绝，所有访问必须显式授权。
主要章节：groups 定义用户集合，成员为邮箱且不能嵌套；tagOwners 控制谁能给设备打标签，空数组表示仅管理员；acls 为核心规则，含 action、src、dst、可选 proto，dst 支持端口写法如 :22、:80,443、:1000-2000、:*；hosts 定义 IP/CIDR 别名；ssh 定义 Tailscale SSH 规则，action 可设 accept 或 check 配合 checkPeriod 定期重认证；autoApprovers 自动批准子网路由与出口节点；tests 在保存时校验允许与拒绝结果，防止回归。
用法：新规则推荐使用 grants 语法（src、dst、ip 分离），可与 acls 混用作为渐进迁移；ACL 仍无限期支持，但新特性仅 grants 获得。
设计建议：机器用标签、人用分组，遵循最小权限，用注释说明意图，并重点测试拒绝规则。
扩展：参考资料涵盖策略文件完整字段参考、GitOps 设置（GitHub Actions、API key/OAuth/OIDC 三种认证、多 tailnet、pre-commit 钩子）与 Tailscale API（认证、基于 ETag 的安全更新、验证部署脚本）。具体命令与代码未在本资料中给出。