用途：诊断阿里云 OSS 流量滥用与疑似安全事件，如夜间流量激增、账单暴涨、陌生 IP 盗刷、桶内出现未上传文件、疑似 AK 泄露、图片被其他网站盗链、异常外网流量、未授权下载等。
主要能力：先核验调用者身份，再以只读控制面查询审计存储桶暴露面，包括 ACL、桶策略匿名授权检测、公共访问阻断状态、防盗链 Referer 配置、请求者付费方；随后推导专属实时日志（SLS）资产名，只读执行 6 步流量来源查询序列（认证方式、每日趋势、Top IP、UA、Referer、Top 文件、Top URL，均排除 CDN 回源），将返回行解释为日志证据，进行四路根因分类，并给出人工遏制与加固清单。
使用方式：所有取证必须通过 scripts/ 下脚本执行，入口为 oss_traffic_forensics.py，身份核验用 sts_token.py。示例：cd $SKILL_DIR && python3 scripts/oss_traffic_forensics.py --bucket <name> [--region <region>] [--time-window "<window>"]。可选参数包括 --log-days（默认 1，最大 7）、--no-log-execution（仅输出查询语句不执行）、--question（触发官方文档核验）。凭据仅由默认凭据链解析，禁止显式读取或传入 AK/SK/STS。aliyun CLI 需 3.3.3 或更新版本，可用 aliyun version 检查、aliyun upgrade --yes 升级。
适用场景：客户描述与上述症状匹配时使用；传输错误码、计费、端点不匹配、签名 URL 过期、访问记录追踪、直连问题应路由到对应兄弟技能。
限制：严格只读，绝不生成或执行任何变更类 OSS API 命令，也不接受“供用户手动运行”的变更命令；不执行封禁、法律上报或费用减免，仅给出人工指引。结论必须基于实际返回数据，查询失败或为空需记录并说明局限，不得编造攻击者 IP、流量数字或根因。SLS 查询失败时降级为仅输出语句，不影响暴露面审计状态。配置或用法问题须经脚本核验官方文档并引用返回的 URL，离线时需明确说明无法在线核验。