用途：安全地清点并移除 AWS 账户中的资源，把删除视为破坏性基础设施操作，全程强制先只读盘点、再人工确认。
主要能力：跨所有已启用区域盘点资源，覆盖 EC2、VPC、S3、RDS、ECS/EKS、Lambda、IAM、CloudWatch、Secrets Manager、Route 53、CloudFront、CloudFormation 等常见服务；按服务、区域、资源标识汇总，并标出终止保护、非空存储桶、保留快照、受保护日志组、服务关联角色等阻碍项。
使用方式：先让用户确认“please confirm i have access to go through your aws account”，之后运行 aws sts get-caller-identity 核对账户与凭证；再执行只读盘点，例如 aws ec2 describe-regions --all-regions --query 'Regions[?OptInStatus==opt-in-not-required || OptInStatus==opted-in].RegionName' --output text。删除前需用户确认精确范围，格式为“please confirm delete xxx from your xxx account”。删除按依赖顺序进行，删除前重新检查目标，完成后再次只读盘点并报告已删除、跳过、失败和仍存在的资源。
适用场景：清理测试账户、废弃账户或需要审计留痕的资源下线。
限制：未完成确认前不得运行任何 AWS 命令，包括只读命令；无法用 sts get-caller-identity 识别账户时拒绝删除；范围过大或含糊时要求缩小；除非用户明确要求，否则不关闭账户本身；删除中新发现的资源需暂停并重新确认。具体命令清单可参考 references/aws-inventory.md。