用途：诊断阿里云 WAF 证书链是否完整，修复本地 PEM 证书包，并指导手动上传。不负责发现域名或探测远程 TLS 端点。
主要能力：用 DescribeCerts 查询已知 WAF 3.0 实例并检查 IsChainCompleted；检查本地 PEM 文件；获取或手动定位缺失的中间证书；构建并验证完整链；指导手动上传并复查 WAF 证书状态。
使用方式：本地 PEM 检查需 openssl 与 Python 3.8+，运行 python3 scripts/fix_certchain.py --file cert.pem，加 --json 输出 JSON；修复用 --fix --output complete_chain.pem。查询 WAF 需 Aliyun CLI 3.3.3+ 及插件，命令为 aliyun waf-openapi describe-certs --instance-id <instance_id> --biz-region-id cn-hangzhou --region cn-hangzhou --page-size 100 --pager。仅需只读权限 yundun-waf:DescribeCerts。
限制：不支持域名列表、证书与域名绑定发现、远程 TLS 探测、自动上传或部署 API。权限不足或参数错误须立即终止，不重试；限流或 5xx 最多重试一次。不读取或打印 AK/SK。WAF OpenAPI 限 5 次/秒，顺序调用间需 sleep 0.3。
适用场景：WAF 报告证书链不完整或缺少中间证书时，用于定位并修复证书链。