用途：管理阿里云云防火墙 ACL 策略及其配套配置（地址簿、同步节点），覆盖备份、恢复、分析与单点变更。
主要能力：
- 备份与恢复（backup.py）：备份全部配置或按类型恢复，支持差异恢复（--mode diff，仅补建线上缺失项）与追加恢复（--mode append，可配合 --nat-target-gateways / --vpc-target-groups 重写目标资源 ID，用于同账号网关切换或跨账号）。
- ACL 分析（acl_manager.py）：命中分析（hit，识别零命中策略）、重复规则检测（dup）、影子规则检测（shadow）、合规审计（audit，检查全 CIDR+全端口放行等高风险模式）。
- 单点变更：新增单条策略（add）、启用/禁用（switch），均为先出计划、二次确认后执行。
使用方式：先执行 pip install -r scripts/requirements.txt 安装依赖；用 python scripts/backup.py --list 查看选项，再以 --types 指定类型执行。凭据通过阿里云凭据 SDK 默认提供链解析，需预先用 aliyun configure 或标准凭据文件配置，脚本不读取显式 AccessKey。
适用场景：灾备恢复、环境复制、误删恢复、策略清理候选识别与合规检查。
限制：不提供 ACL 策略或地址簿的删除与清理，需在控制台手动操作；应用控制模板与网页过滤模板不支持备份；恢复须按同步节点→其他地址簿→ACL 策略的顺序进行，否则可能失败；地址簿名称不可重复，ACL 策略允许重名且恢复为追加插入，需检查最终顺序；--mode diff 与目标网关/组参数互斥。具体 RAM 权限见 references/ram-policies.md。