用户态接口

只消费导出的 UAPI，保留 errno、权限和能力边界。