用途：诊断阿里云 OSS 端点（endpoint）与内网访问问题，例如客户端用内网端点报 no such host、提示必须使用指定端点、同地域 ECS 该用哪个端点、ECS 读桶却产生公网流量费等。也涵盖自定义域名（CNAME）绑定与解析诊断。
主要能力：以只读方式运行 scripts/sts_token.py 校验身份（仅作溯源标签），再运行 scripts/oss_endpoint_diagnosis.py --bucket <name>，可选 --endpoint（当前配置端点或自定义域名）、--region、--question（客户原话，用于官方文档核验）。脚本用只读 GetBucketInfo 获取桶真实地域与公网/内网端点，分类端点形态（public/internal/accelerate/dualstack/cname/invalid）并与配置比对；失败时降级用 ListBuckets 定位地域；CNAME 走 DNS 探测加只读 ListCname。输出结构化 JSON 与 STATUS、NEXT_ACTION 契约行。
使用方式：凭据仅从默认凭据链读取环境变量（ALIBABA_CLOUD_ACCESS_KEY_ID 等），身份检查用 aliyun CLI，需 3.3.3 及以上（aliyun version 校验，aliyun upgrade --yes 升级）。
限制：严格只读，禁止任何写操作或修改配置；不得自行组装 ossutil/SDK 命令；不得读取或传入 AK/SK；结论必须基于真实返回数据；超出端点与内网归属范围（带宽配额、攻击溯源、ICP 备案流程）只给人工指引；本技能不代跑拨测。文档核验降级时需声明无法联网核验。