用途：以只读方式查询阿里云 ActionTrail LookupEvents API，检索账号的操作审计事件，用于排查“谁在何时、从哪个源 IP、对哪些资源执行了什么操作”。
主要能力：多地域批量查询（--region all 展开内置常用地域，全局服务固定到 cn-hangzhou）；自动分页（NextToken 直到耗尽或达每地域页数上限）；时间支持 ISO8601 UTC 或北京时间（无时区按北京时间处理）；服务端过滤 --lookup-attribute Key=Value（最多 2 个，AND，区分大小写）；客户端细化 --filter-event 子串、--filter-resource-type 精确匹配；输出 12 列 Markdown 表格加友好摘要，或 --json 契约。
使用方式：入口脚本 scripts/lookup_events.py。示例：python3 scripts/lookup_events.py --region cn-hangzhou --start-time '2026-07-01 00:00:00' --end-time '2026-07-02 23:59:59' --lookup-attribute 'ServiceName=Vpc' --lookup-attribute 'EventRW=Write'。调用顺序固定：先 STS GetCallerIdentity，再解析地域，再逐地域 LookupEvents，最后客户端过滤与渲染。--uid 可省略，由 STS 自动推导；若与凭证账号不一致会输出 ACCOUNT MISMATCH WARNING。
适用场景：账号操作审计追溯、异常操作排查、按服务/事件/资源/用户定位操作记录，以及为下游智能体提供可复现的 JSON 查询上下文。
限制：严格只读，禁止任何写操作；不输出凭证；信息不足时须先询问用户，不得猜测并执行宽泛无过滤查询；输出必须基于真实 API 返回，空结果如实报告；表格 Operator 列不显示 accountId，AccessKeyId 与 requestParameters 默认不显示；结果被截断时不得当作完整结果，需收窄时间窗、增加过滤条件，或建议将事件投递至 SLS。前置条件：Aliyun CLI 3.x 或环境变量/配置文件凭证，pip install -r scripts/requirements.txt，只读 RAM 策略。退出码 0 成功或部分成功、1 全部失败或致命错误、2 参数无效。