用途：解释阿里云 OSS 请求为何失败，并从客户自有日志追溯“谁访问/下载/删除了对象”。典型触发场景包括 403 AccessDenied、桶策略看似拒绝本应放行的请求、预签名 URL 报 SignatureDoesNotMatch、NoSuchKey 但文件曾存在、EC 错误码含义、匿名访问被拒、真实日志是否开启，以及“想追溯访问但没有日志”。
主要能力：确认范围、解析桶的真实地域、探测实时访问日志是否可读、按 request ID／EC／对象／批量删除主题追溯请求、读取授权配置（桶信息、ACL、策略、阻止公共访问，条件性读取对象 ACL、Referer、网站文档、日志投递、RAM），再将请求与配置关联，判断命中的语句；日志不可读时降级为推导日志目标和生成可在控制台执行的语句。所有诊断必须通过 scripts/diagnose_access_log.py 执行，禁止手写查询或直接调用 API。
使用方式：先与用户确认桶、地域与失败请求；执行前可选运行 python3 scripts/sts_token.py 做身份检查。参数包括 --bucket（必填，不得猜测）、--region、--request-id、--ec、--object、--ip/--status/--operation/--ak 过滤、--batch-delete、--concurrency、--hours（默认 24，最大 168）、--uid、--ram-user/--role-name、--post-policy、--question（用于官方文档校验）、--exclude-cdn、--format/--output。运行方式为 cd $SKILL_DIR 后执行入口脚本。
限制：完全只读，禁止任何变更操作（不修改 ACL、策略、日志配置、对象等），开启实时日志仅能给出控制台指引；禁止读取、打印、传递 AccessKey 或安全令牌，也不得打开凭据文件排查；所有调用均带 session-id 与 skill-version。技能不覆盖计费与成本归因、流量盗刷应急缓解、端点解析错误、传输加速错误码、事件通知与上传回调故障、分片上传调优。需 Python 3.9+ 及 oss2>=2.19.0,<3，aliyun CLI >= 3.3.3。其他细节暂未提供。