用途：阿里云 WAF 3.0 只读诊断助手，面向拦截诊断、规则查询与配置指引场景。核心定位是只读，不执行任何写操作。
主要能力：一是拦截诊断，支持按 traceid、host+url_path+status、host+IP 等方式查询 WAF 日志，输出请求基本信息、拦截原因（触发模块、规则 ID、规则类型）与处理建议；二是规则配置指引，以纯文本形式给出控制台操作步骤、需填参数与注意事项；三是规则未生效诊断，按固定流程排查模板未绑定、条件不匹配、白名单绕过、XFF 配置等问题。
使用方式：需先安装并配置阿里云 CLI（aliyun），检查命令为 which aliyun 与 aliyun version；未安装可 brew install aliyun-cli 或从 https://aliyuncli.alicdn.com/ 下载。日志查询使用 aliyun sls get-logs-v2，需安装 SLS 插件 aliyun plugin install --names aliyun-cli-sls。所有命令须带 --user-agent "AlibabaCloud-Agent-Skills/alibabacloud-waf-rule-management/{{SESSION_ID}}"，SESSION_ID 为 32 位小写十六进制，可用 python3 -c "import uuid; print(uuid.uuid4().hex)" 生成。SLS 项目名随 PayType 不同：后付费为 wafnew-project-<AccountId>-<SLSRegion> / wafnew-logstore，包年包月为 wafng-project-<AccountId>-<SLSRegion> / wafng-logstore，且须加 --region。规则未生效诊断可运行 python scripts/rule_matcher.py --rule-file rule.json --log-file log.json，加 --full-check 输出全部问题。
限制：严格禁止执行或提供任何创建、修改、删除类命令与脚本、JSON 示例、文件保存；禁止使用 --profile 或读取凭据文件；禁止索取 INSTANCE_ID/TEMPLATE_ID 代为配置；仅允许 describe-* 与 get-logs-v2 等只读命令。诊断报告须以只读免责声明开头，配置变更一律由用户在控制台手动完成。具体命令格式与陷阱需参考随附 references 文件，本资料未提供完整细节。