exposure-check 是一个诊断类技能，用于排查自托管服务的可达性、路由、DNS 与 TLS 问题。适用于“本应能访问却表现异常”的场景：localhost 正常但局域网不通、局域网正常但公网不通、DNS 能解析但应用仍失败、HTTPS 告警或指纹变化，以及路由器、防火墙、主机商、VPN 或绑定地址配置可能造成干扰的情况。
使用前需先收集：目标 URL、主机名、IP 与端口；目标应仅限 localhost、局域网、VPN 还是公网；是否涉及反向代理；服务使用 HTTP、HTTPS 还是自定义 TCP/UDP 端口。
工作流程：确认目标服务、端口与预期访问范围；检查进程是否监听在预期网卡；检查本地与主机防火墙规则；涉及主机名时检查 DNS 解析；涉及 HTTPS 时检查 TLS 身份或指纹；区分 localhost、局域网与公网三类失败；给出最可能的故障点与下一步修复建议。
Linux 检查命令包括：ss -ltnp、ss -lunp、curl -I http://127.0.0.1:PORT/、curl -kI https://127.0.0.1:PORT/、dig +short HOSTNAME A、dig +short HOSTNAME AAAA，以及 echo | openssl s_client -connect HOST:PORT -servername HOST 2>/dev/null | openssl x509 -noout -fingerprint -sha256。Windows 检查命令包括：Get-NetTCPConnection -State Listen、Get-NetUDPEndpoint、Invoke-WebRequest "http://127.0.0.1:PORT/" -Method Head、Invoke-WebRequest "https://127.0.0.1:PORT/" -Method Head -SkipCertificateCheck、Resolve-DnsName HOSTNAME、Test-NetConnection HOSTNAME -Port PORT。
决策树覆盖：完全未监听、仅监听 127.0.0.1、监听 0.0.0.0 或局域网 IP 但局域网失败、局域网通但公网失败、DNS 指向错误、HTTPS 证书 SAN 或指纹不匹配、反向代理正常但后端路径失败。验证时应分别从主机自身、另一台局域网设备以及真正的外部网络测试，并对比三者结果。
输出内容包括：监听情况与位置、DNS 是否匹配目标、TLS 身份是否匹配、localhost/局域网/公网测试是否通过、最可能的故障点、下一步修复建议。注意这是诊断技能而非部署技能，应优先依据证据，将绑定、防火墙、DNS 与 TLS 视为不同层次分别排查；公网测试可能需要真正的外部观测点，仅靠 localhost 与局域网不足以判断。