用途：面向阿里云已签约客户，检查安全产品配置项是否已充分启用，并生成整改清单。与 sas-security-report 的差异在于：本工具关注“配置是否开启”，后者关注“过去 30 天发生了什么”。
主要能力：覆盖 WAF 3.0、SAS、CFW、DDoS 四类产品共 60 项配置，按覆盖率、防护强度、响应时效、合规对齐、最佳实践五个维度打分（百分制）。检查项定义在 references/checks/*.yaml，新增项无需改代码，rule.type 仅支持 ratio/exists/enum/range 四种。输出三件套：health-report.html（客户）、remediation.xlsx（运维整改清单）、exec-summary.md（内部 CSM 摘要）。
使用方式：先向客户运维分发 scripts/collectors/ 下的采集脚本，回收 JSON 后运行：python scripts/engine/scorer.py --input <client-jsons-dir> --output <report-dir>；再分别运行 report_html.py、report_excel.py、report_markdown.py 生成交付物。依赖缺失时按提示执行 pip install --quiet pyyaml jsonpath-ng jinja2 openpyxl 后重试。每次调用生成 UUID v4 的 SESSION_ID，阿里云 CLI 调用需带 --user-agent "AlibabaCloud-Agent-Skills/alibabacloud-security-health-check/${SESSION_ID}"。
适用场景：客户成功/交付团队月度巡检、续约前 2-3 个月价值展示与整改建议、客户询问配置得分或未开启项、大客户安全治理项目前期评估。
限制：不做回溯报告（由 sas-security-report / waf3-monthly-report 负责）；不做定价（用 alicloud-security-pricing）；MVP 阶段无行业对标；不处理任何客户凭证，仅接受 JSON 文件。需 Python >= 3.9、阿里云 CLI >= 3.3.3。DDoS Pro 目前仅支持 DDoSCoo，原生防护需手工填字段。