用途：agent-cloudflare 用于 Cloudflare 运维排查（triage）。面对事件型问题优先使用调查命令，用户明确指定某个 Cloudflare 资源时使用对应的资源命令。
主要能力：覆盖 accounts、zones、DNS、SSL/TLS、rulesets 与 WAF、cache、Workers、KV、R2、Waiting Rooms、audit 等操作；提供 usage、profiles、investigate 等命令，以及资源级查询和通过 api get 访问未支持的端点（仅认证读取）。
使用方式：先运行 agent-cloudflare usage、agent-cloudflare profiles list、agent-cloudflare profiles check、agent-cloudflare investigate usage 起步。设置凭证时让用户本地执行 agent-cloudflare profiles add <profile> --form，令牌直接进入操作系统对话框；更换令牌用 profiles update <profile> --form。多账户或多区域时用 --account-id、--zone-id 限定范围。
安全限制：绝不要求工具显示 API Token，也不接受在对话中粘贴 Cloudflare Token。偏好只读命令。DNS 修改、缓存清除等写操作属高风险，先用 --dry-run，只有用户明确要求写入时才使用 --confirm。
输出约定：列表默认输出 NDJSON。get <id>... 接受一个或多个 id，按输入顺序每个 id 返回一条结果；无法解析的 id 返回 {"@unresolved":{"id","reason","fixable_by","hint"?}}。--format json|yaml 会合并为 {"data":[…],"@unresolved":[…]} 信封。单项未命中仍走 stdout 且退出码 0，仅命令级失败（认证、网络）走 stderr 并退出码 1。zone-settings get 和 waiting-rooms get 通过 --zone <zone-name-or-id> 指定区域；api get 保持单项。错误包含 fixable_by，通常还带 hint。
调查输出使用证据记录：{"type":"entity","object":"zone","id":"...","data":{}} 与 {"type":"finding","severity":"warning","summary":"...","data":{}}。
本地测试可运行 mockcloudflare，并设置 --base-url http://127.0.0.1:12112 与 --api-token cfut_mock。配置元数据位于 XDG config，API 令牌存放于 Keychain；profiles list 与 profiles check 可显示凭证类型（cfut、legacy_api_token 或 unknown），但从不显示令牌本身。
增量参考：references/scenarios.md（常见事件问题与命令序列）、references/commands.md（命令选择与语法）、references/output.md（输出约定、错误提示、证据行、密钥处理与变更审批规则），按需加载。