用途：回答「本区域 WAF 已接入域名分别绑定了哪张证书、何时到期、哪些需要现在续期」。默认以到期前 30 天为「即将过期」窗口（warn_days 可改），过期证书始终优先列出。仅做只读盘点与到期分类。
主要能力：覆盖 WAF 3.0（waf-openapi 2021-10-01）与 WAF 2.0（2019-09-10）的 CNAME 接入域名。3.0 用 DescribeInstance → DescribeDomains（分页）→ DescribeDomainDetail 取 Listen.HttpsPorts / CertId / SM2CertId，再经 CAS GetUserCertificateDetail（必须带 CertFilter=true）得到 EndDate / Expired；2.0 用 DescribeInstanceInfo → DescribeCertificates 探测 → DescribeDomainNames → 按域名 DescribeCertificates 取 IsUsing / CertificateId / EndTime。最终分为过期、即将过期、正常、未启用 HTTPS、未绑定证书、到期信息未获取等类别并输出汇总表与仅控制台的续期指引。
使用方式：需 Aliyun CLI >= 3.3.3，执行 aliyun configure set --auto-plugin-install true、aliyun plugin update，安装 waf-openapi 与 cas 插件；脚本 scripts/check_cert_status.py 需 Python 3.8+。凭据须在会话外配置，仅用 aliyun configure list 检查，禁止读取或回显 AK/SK。每条云 API 命令须内联执行并携带 --user-agent，脚本经环境变量传入会话与版本。region 必填：大陆 cn-* 归一为 cn-hangzhou，国际区域归一为 ap-southeast-1；未提供或无法识别时先询问并等待，不做任何调用。
限制：全程只读，绝不调用 Modify*/Create*/Delete*/Upload*/Deploy*；不获取或展示证书内容与私钥；查询失败或为空不等于不存在，须标记「未获取」；无到期证据不得判定「正常」。WAF 大版本决定 API 路径，不能由日期或名称推断。跨账号或在 CAS 中已删除的证书无法解析到期时间，只能标注未获取，不推测日期。仅覆盖 CNAME 接入域名，CLB/ALB/MSE/FC 等云产品接入的证书由相应产品管理。不承诺自动续期结果。