用途：当数据库或 API 防火墙按来源 IP 白名单，而智能体出口 IP 不断变化时，用 static-egress 获得固定出站 IP。适用原始 TCP（Postgres 5432、MySQL 3306、Redis 6379 等）与需向对方提供一个地址的白名单场景。
主要能力：平台中继应用持有静态出口 IP，容器经 6PN 私网连到 sc-static-egress 中继，再由中继以固定 IP 出站。enable.py 幂等，重复运行保持同一组出口 IP，已装好的白名单继续有效，同时每次签发新凭据并吊销旧的，兼具续期作用。verify.py 验证出口 IP 与真实 TCP 握手；status.py 查看分配（不打印凭据）；disable.py 吊销凭据。
使用方式：先 enable.py 打开分配并记下打印的地址与 sg_rule，在防火墙上放行；再 verify.py 确认 egress matches: yes 与 tcp handshake: ok。数据库驱动不支持 SOCKS5，需运行 tunnel.py 做本地转发，客户端用 host 指向真实端点、hostaddr 指向 127.0.0.1，并以 sslmode=verify-full 保持 TLS 校验。无数据库时可用 selftest.py 验证机制。
限制：仅支持外部目标，回环、链路本地、私有网段和 .internal 会被拒绝；VPC 私有端点不可达，需平台团队提供 AWS 侧中继。凭据为短期令牌，切勿写入日志、提示词或共享文件。不要设置全局 HTTP_PROXY/HTTPS_PROXY。容器级固定出口，非按请求路由。依赖仅 Python 3 标准库与平台注入的 CONTAINER_JWT。
适用场景：RDS Postgres 等数据库安全组按 IP 白名单、智能体出口 IP 漂移导致白名单失效时，把静态 IP 放在中继上并让数据库客户端指向中继。HTTP(S) 代理、IAM 数据库认证（仍不替代安全组）、按请求换 IP 等场景不适用。
分类：devops（部署与运维）。