用途：诊断阿里云 CDN 流量/带宽异常，例如“流量突然上涨”“昨晚带宽飙升”“CDN 账单跳涨怀疑被盗刷”“是否有人盗链”“定位异常时间窗”。
主要能力：先确认身份与目标域名，拉取指定时间窗的 bps/流量/QPS 用量数据，计算均值与中位数基线，通过峰值与基线比对定位异常区间；再对异常窗口做离线日志取证，输出四维 Top 统计（URL、IP 及 /24 子网、Referer、User-Agent）、共性分析（状态码、缓存命中率、方法、小时分布、响应大小与请求频率分桶）、13 条盗刷滥用规则命中，以及 T1~T6 场景分类（URL 集中、IP/子网集中、Referer 异常、UA 异常、分散型良性突增、回源放大）与基于证据的建议。
使用方式：需 aliyun CLI 3.x 与 Python 3.9+（仅标准库）。凭据由 CLI 默认凭据链自动解析，禁止读取、打印或传入 AK/SK/STS。入口脚本：cd $SKILL_DIR && python3 scripts/cdn_traffic_anomaly.py --domain <DOMAIN> [--days 7] [--interval 3600]；日志取证：python3 scripts/cdn_traffic_analysis.py --domain <DOMAIN> --start-time "YYYY-MM-DD HH:MM:SS" --end-time "YYYY-MM-DD HH:MM:SS"。支持 --json、--quiet、--no-raw、--top-n、--log-dir、--max-files、--keep-logs 等选项。
限制：严格只读，禁止任何变更类 API（如 StopCdnDomain、Modify*、RefreshObjectCaches 等），也不提供“供用户手动运行”的变更脚本；离线日志约在事后 3~4 小时可下载，且按小时切分，窗口需对齐整点；R03 海外 IP 占比无脚本支持，仅可人工评估；describe-domain-src-bps-data 失败时 T6 回源放大判断降级为仅看 MISS 比例并在报告中标注；所有结论必须基于实际返回数据，查询失败或为空需如实记录，不得编造流量数字。