用途：诊断阿里云云防火墙 VPC 防火墙的开通失败、路由策略配置失败，以及关闭（下线）前的路由与 ACL 风险预检。属于只读诊断工具，不执行任何创建、修改、删除等变更操作。
主要能力：查询 VPC 防火墙列表与状态、预检详情、引流任务状态与 ErrorDetail、回滚目标路由表、VPC 防火墙 ACL 策略、近期操作历史，以及 CEN 转发路由器、路由表、路由条目和 VPC 属性；配合本地脚本分析路由并做关闭前预检。
使用方式：需 aliyun-cli >= 3.3.0、Python 3.6+（仅标准库），通过 aliyun configure --profile <profile-name> 配置凭证，命令中统一使用 --profile。诊断前启用 CLI AI-Mode 并刷新插件：aliyun configure ai-mode enable、aliyun configure ai-mode set-user-agent --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cloudfw-vpc-firewall-diagnosis、aliyun plugin update；结束后执行 aliyun configure ai-mode disable。所有云服务调用需带 --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cloudfw-vpc-firewall-diagnosis，本地命令（aliyun version、aliyun configure list、python3 --version 等）不加。需先收集 profile 名、是否跨地域、CEN 实例 ID、地域 ID、问题类型。
适用场景：VPC 防火墙创建失败、路由策略配置失败、自动引流或手动引流模式下的关闭前预检。
限制：仅授予最小只读 RAM 权限；禁止执行任何写操作或提供含具体参数的可执行写命令；不得硬编码凭证；关闭前预检必须保存路由表 JSON 并运行 scripts/analyze_routes.py，不得手工比对路由或仅凭 TotalCount 判断；不得查询超过 24 小时日志（除非用户明确要求）；不得使用 DescribeFirewallV2List；报告须以只读声明开头。具体权限清单与流程见 references 目录文档。