unit-test-security-authorization 是测试 Spring 方法权限的 Skill。它用不同身份检查哪些调用允许、哪些必须拒绝，关注的是授权规则。
模拟用户只提供测试身份，规则还需启用并经代理执行；直接构造服务调用可能绕开权限。只看管理员调用没报错，不足以证明限制生效，还要有低权限和匿名拒绝路径。
主文既给现代启用注解，也混用旧配置说法，各权限注解是否启用应按实际版本核。复杂用户属性需要对应身份配置，不能凭简单模拟用户就假定有业务字段。
安全上下文与线程有关，异步测试还要确认身份传播。高级表达式与完整配置另有引用，本文未展开；它适合核方法边界，不能把局部通过当成真实登录链路或整套安全审核通过。