用途：kongctl-query 用于对 Kong Konnect 执行只读的 kongctl 查询，适合用户明确要求使用 kongctl、需要 CLI 形式的证据，或在其他工作流修改 Konnect 状态后进行只读验证。它只负责读取路径和变更后验证命令，不负责声明式 YAML 编写、plan/apply/sync、CI/CD 脚手架或仓库重构。
主要能力：验证认证、profile、区域与组织作用域；发现应查询的 get 资源、父级或子级路径；列出或获取单个资源；控制输出模式与结果裁剪。若会话已有共享的 kong-konnect MCP 服务器且用户更需要实时检查而非精确 CLI 语法，建议优先使用 MCP，kongctl 作为后备证据路径。
使用方式：先运行 kongctl version 确认 CLI 可用；交互式会话优先使用 kongctl login，非交互式才使用 PAT 或 SPAT 环境变量。只检查环境变量名，不读取其值，不读取凭据文件或输出令牌。用 kongctl get organization -o json 等组织级读取证明上下文。选择最小只读命令，如 kongctl help、kongctl get <resource> --help、kongctl get <resource> -o json 或 kongctl get <resource> "<name-or-id>" -o json；除非用户明确要 YAML，否则显式使用 -o json。父级边界确认后再做父子读取。
限制：该技能绝不执行 apply、sync、adopt、patch、create 或 delete 等变更操作。需区分空结果与认证、profile 或作用域失败。若问题转向产品诊断或设计，应移交给相关 Konnect 领域技能；若涉及 plan/apply/sync 或声明式 YAML，应移交给 kongctl-declarative；若仓库已使用 deck-gateway、terraform-konnect 或 terraform-kong-gateway 进行变更，应移交给对应工具。官方文档：https://developer.konghq.com/kongctl/