用途：生成或评审阿里云 WAF 3.0 安全运营报告，包括客户安全评估、规则调优报告，以及针对误报或漏报的专项调查。目标是在保障防护效果的同时兼顾业务准确性，而非单纯追求拦截量最大化。
主要能力：支持完整评估与聚焦任务两种模式。完整评估覆盖 WAF 实例能力、防护域名、防御模板、各类防护规则、API 安全事件与风险、SLS 日志基线、BOT 行为分析，并可选进行 20 类攻击面分析和 OWASP API Security Top 10 覆盖分析。聚焦任务仅收集所需证据及其直接前置条件，不扩展为无关评估。
使用方式：支持在线收集和离线分析两种执行模式。在线收集仅在需要实时证据且云环境上下文可用时启用，使用已认证的只读 aliyun CLI 工作流；离线分析只分析用户提供的导出或样本，不调用云 API、CLI、curl 或其它网络服务。所有出站请求需使用统一会话标识，User-Agent 格式为 AlibabaCloud-Agent-Skills/alibabacloud-waf-report/{session-id}，会话 ID 用 openssl rand -hex 16 生成并全程复用。curl 示例：curl -sS --connect-timeout 5 --max-time 10 -A "AlibabaCloud-Agent-Skills/alibabacloud-waf-report/${SESSION_ID}" "https://ipinfo.io/192.0.2.1/json"。aliyun CLI 命令在支持时可追加 --user-agent "AlibabaCloud-Agent-Skills/alibabacloud-waf-report/${SESSION_ID}"。
适用场景：客户 WAF 安全运营评估、规则调优、误报与漏报排查、API 安全审查、BOT 行为分析，以及需要可追溯证据和最小作用域建议的安全报告场景。
限制：默认只读，修改 WAF 规则、黑白名单、BOT 策略或日志设置属于写操作，需用户对具体变更明确授权。仅使用 aliyun CLI 默认凭证链或已配置 profile，不请求、查看、打印、持久化或传递 AccessKey。需对敏感信息脱敏。SLS 保留期若不覆盖请求区间，须说明覆盖率、缺失区间及对结论的影响，不得将数据缺失解释为无风险。未授权域名与路径不得验证。若 RAM 权限被拒，需识别缺失的读权限，并将受阻检查标记为不可验证。验证仅使用无副作用的 GET 或 HEAD 请求，不发送攻击载荷、不触发状态变更、不枚举对象、不绕过认证、不产生负载。外部事实需注明可核验来源，无依据的外部声明应标注为技术推断，不得编造官方措辞或 URL。当前插件帮助与官方 API 文档优先于示例。