用途：调查 Cloudflare 防护域名上的异常流量模式，例如流量突增、服务过载、数据库饱和、API 限流等下游故障，从确认异常到输出完整事件报告。
主要能力：按固定流程逐步排查——收集时间范围与 zone 信息、按小时确认突增、细化到分钟级定位、识别请求量最高的 JA4 指纹、分析其路径/用户 ID/ASN、核验 bot 分数与 WAF 分数及 User-Agent、盘点 WAF 规则与速率限制及页面规则、提取请求最多的用户，最后汇总为事件报告。内置常见故障模式参考（如熔断级联、重试风暴、单用户放大、缓存击穿）与升级标准（P1/P2/P3）。
使用方式：所有 Cloudflare 交互通过 cloudflare-mcp-cli 完成，可用 cloudflare-mcp-cli search '<async fn>' 检索 OpenAPI 端点，用 cloudflare-mcp-cli execute '<async fn>' 执行调用（GraphQL 分析走 POST /graphql，Radar 走 REST，zone 操作走 /zones）。需提供 DOMAIN 与 ZONE_ID，可选 TIME_RANGE 或 UTC ISO8601 的 SINCE/UNTIL，以及用于报告显示的 TZ_DISPLAY。若无法推断域名或 zone ID，会通过 AskUserQuestion 询问。
限制：防火墙事件采用自适应采样，数值为采样计数而非真实总量，仅适合模式识别与相对比较，报告中须注明。JA4 指纹格式为 t13dNNNNNN_XXXXXXXXXXXX_YYYYYYYYYYYY，单一指纹出现在数百万请求中通常指向后端服务配置而非个人用户，需与 CLOUDFLARE_JA4 环境变量交叉核对。具体价格、平台支持范围等资料暂未提供。