用途：作为诊断 AWF 故障的单一入口，按错误、工作流运行 URL 或症状定位问题。知识存放在诊断注册表中，本技能只负责路由与报告。
主要能力：先读取 docs/diagnostics/README.md 了解边界路由与专家参考，读取 docs/diagnostics/agent-playbook.md 了解报告格式与安全规则；对运行做指纹识别（AWF 版本、运行器类型如 GitHub-hosted/self-hosted/ARC+DinD/GHES/GHEC、DOCKER_HOST、GITHUB_SERVER_URL、容器运行时、提供方、认证模式，未验证处标 unknown）；将失败边界分类为 runner、runtime、network、auth、ci、security；仅加载匹配记录。
使用方式：在克隆仓库中运行 npx tsx scripts/diagnostics/cli.ts search "<redacted error string>" --boundary <boundary>。无克隆时使用可移植产物 .github/agents/diagnose-awf.md（优先选择与 AWF 版本匹配的 tag）。匹配不明确时，用匹配发现的只读探针逐一探测。报告内容包含：观察到的症状、匹配的发现 ID 与证据、受影响版本/拓扑、安全的下一步探针、修复/变通方法、引用。认证路由：api-proxy sidecar 或提供方令牌交换对应 AUTH-001、AUTH-002；GitHub/Copilot 企业版与 BYOK 路由对应 AUTH-001 及 docs/auth-matrix.md；gh-aw 启动的 mcpg HTTP MCP GitHub OIDC 对应 AUTH-003。仅检查配置存在/形态、路由与健康状态、脱敏后的错误类别。
限制与安全规则：绝不索取 API 密钥、令牌、JWT、Authorization 头、环境转储、推理探针或令牌交换；绝不默认建议 --env-all、禁用隔离或扩大域名允许列表；疑似隔离或凭据边界回归应路由至 SEC-001 及仓库安全审查流程；若无匹配记录，应说明并指出最小缺失证据后停止，绝不编造修复方案。更新知识需遵循 docs/diagnostics/patterns.md，编辑规范记录后运行 npm run diagnostics:render 并提交经审查的 PR，不得手工编辑生成产物或 .lock.yml 文件。