用途：针对用户明确提供的域名诊断 TLS/SSL 证书问题，覆盖证书不受信任、主机名/SAN 不匹配、证书过期以及 HTTPS 访问失败等场景。检查流程先解析 DNS、测试 TCP 连通性，再验证证书信任链、主机名匹配与有效期；检查失败时自动执行网络预检和 DNS 诊断以定位根因。
主要能力：单域名全链路检查（DNS 解析→TCP 连通→信任链、主机名/SAN、有效期）；异常证书诊断（过期、不受信任、主机名不匹配并给出具体原因）；DNS 失败根因分类（NXDOMAIN/SERVFAIL/REFUSED/TIMEOUT/仅 CNAME）；通过 --port 检查非默认端口；通过 --file 批量检查；输出结构化 JSON。
使用方式：先设置技能目录 SKILL_DIR=~/.qoderwork/skills/alibabacloud-tls-cert-diagnosis，再运行入口脚本。单域名：cd $SKILL_DIR && python3 scripts/check_tls.py example.com --pretty；自定义端口：cd $SKILL_DIR && python3 scripts/check_tls.py example.com --port 8443 --pretty；批量：cd $SKILL_DIR && python3 scripts/check_tls.py --file domains.txt --pretty。运行前须与用户确认目标域名，未提供时先询问，不得自行猜测或扫描。
限制：只读检查，不执行写操作，无需任何凭据；所有检查必须通过入口脚本 scripts/check_tls.py 执行；仅检查用户明确提供的域名，禁止扫描未知地址；依赖系统二进制（macOS/Linux 用 openssl、dig、nc、telnet，Windows 用 openssl、nslookup、PowerShell Test-NetConnection），无需外部 Python 库；默认每域名超时 5 秒，可用 --timeout-ms 调整；通配符证书仅匹配一级子域；DNS 仅返回 CNAME 时递归跟随至最终 A 记录。支持 macOS、Linux 与 Windows 10/11。