用途：系统化诊断 GCS 访问被拒与配置冲突，定位根因并提出可执行的修复命令。
主要能力：覆盖 403 Permission Denied 的常见场景，包括缺少 storage.buckets.getIamPolicy 权限、requesterPays 未提供计费项目、VPC Service Controls 边界拦截、组织/项目 IAM Deny 策略、GCE 旧版访问范围限制、保留策略锁定、服务账号删除重建后 Unique ID 变化、Bucket IP Filter 拦截，以及 404 桶不存在。
使用方式：先澄清主体（user: 或 serviceAccount:）、目标资源（gs://bucket 或对象路径）、操作类型与认证方式；再查阅 references/403_troubleshooting.md 的分步流程；最后给出修复命令并等待用户 Y/N 确认。运行 gcloud 命令时须内联设置指标环境变量，例如：CLOUDSDK_METRICS_ENVIRONMENT="${CLOUDSDK_METRICS_ENVIRONMENT:+$CLOUDSDK_METRICS_ENVIRONMENT }gcs-skills gcs-skills/1.0 (skill:google-cloud-storage-diagnostic)" gcloud <command> [flags]；curl 需带 -H "User-Agent: gcs-skills/1.0 (skill:google-cloud-storage-diagnostic)"。
限制：严禁自动执行任何修改状态或配置的命令，每条命令都需单独确认；getIamPolicy 被拒时不要循环重试，应先排查边界安全控制，建议最小权限角色 roles/iam.securityReviewer，而非 roles/storage.bucketViewer 或 roles/storage.admin；VPC-SC 与 IAM Deny 策略无法通过加角色绕过；IP Filter 场景需借助 Cloud Audit Logs 排查，日志不可访问时应停止诊断并联系管理员。其他平台、收费与效果信息暂未提供。