用途：当用户只知道业务目标、不知道应调用哪个公开网关或接口时，用 bk-cli apigateway 先发现网关、浏览 API、获取 OpenAPI Schema，再据此判断调用方式。它负责“找网关、找接口、看详情、看 Schema”；真正按 method/path/query/body 发请求由 bk-cli api 负责。开始前须先用 Read 工具读取 ../bk-cli-shared/SKILL.md，认证、context、tenant、stage、header/body、dry-run、verbose 等通用规则以该共享 skill 为准。
主要能力：list_gateways 列出并筛选网关（--name、--fuzzy、--keyword）；list_gateway_apis 列出某网关下公开 API，需 --gateway_name（须匹配 ^[a-z][a-z0-9-]{2,29}$，不合法返回 invalid_gateway_name），可选 --keyword；retrieve_gateway_api_details 获取完整 Schema、请求/响应结构与认证要求；query_log_by_request_id 按 request_id 查网关日志。输出为结构化 JSON envelope，可接 jq 与 shell pipeline。
推荐流程：先 list_gateways 搜索确认候选网关，再 list_gateway_apis 缩小候选 API；结果不唯一时向用户展示候选并请其确认；然后用 retrieve_gateway_api_details 查看 Schema、认证要求、方法与路径；若已有对应子命令就继续用，否则按详情切换到 bk-cli api 原始调用。首次调用、排障或参数不确定时先生成 --dry-run，确认 URL、headers、body 后再发请求。
认证前置条件：detail 返回中的 auth_config 应视为调用前置条件——app_verified_required 表示需应用身份；user_verified_required 表示需用户身份；resource_perm_required 表示应用通常还需先申请该 API 资源权限。调用失败时应结合 auth_config 解释是缺身份还是缺权限，无法唯一判断就列出最可能原因。
示例：bk-cli auth login --bk_app_code="your_app" --bk_app_secret="your_secret" --bk_token="your_token"；bk-cli apigateway list_gateways --name iam --fuzzy；bk-cli apigateway list_gateway_apis --gateway_name bk-iam --keyword "system"；bk-cli apigateway retrieve_gateway_api_details --gateway_name bk-iam --api_name create_system。
限制：仅覆盖发现、浏览、Schema 查询与日志查询，不替代真实调用；未映射为子命令的接口须走 bk-cli api，具体 method/path/body 以 Schema 为准，缺失信息应先与用户确认，不自行猜测。其他使用限制暂未提供。