用途：协助用户完成 osquery 查询的全部工作，包括按调查目标从零编写查询、对照 schema 校验已有查询、排查无法正常工作的查询，以及给出性能与准确性优化建议。所有工作均以指定 EDR 平台的 schema 文件中定义的表和列为准。
主要能力：schema 文件位于 resources/，按平台命名，例如 standard_osquery_schema.spec 为默认基线，另有 bitdefender_、kolide_、crowdstrike_、sentinelone_、carbonblack_ 等 EDR 平台示例。可用 ls resources/_osquery_schema.spec 2>/dev/null || ls resources/.spec 查看可用平台。schema 支持两种格式：显式 platforms([...]) 字段，或以 #platform 标记（如 #darwin、#linux、#windows、#linwin、#macwin、#posix、#sleuthkit、#utility、#cross-platform）作用于其后所有表。
使用方式：先确定 EDR 平台（未指定则默认 standard_osquery_schema.spec）。用 grep 检索表和描述，再用 bash scripts/extract-table.sh <schema_file> <table_name> 提取完整定义；格式可用 bash scripts/detect-format.sh <schema_file> 判断。使用前须确认列存在并检查操作系统兼容性，未支持时告知用户并建议替代方案。
规则与限制：只使用经 grep 从正确平台 schema 确认的表和列；查询应包含 WHERE、探索时用 LIMIT、避免 SELECT *、减少 JOIN；使用占位符如 '<path_to_file>'、'<username>'、'<timestamp>'、'<ip_address>'；表中不存在的内容需如实说明。示例需脱敏，优先用哈希而非文件内容，利用时间约束限制数据量。资料未提供具体定价、平台支持细节以外的信息。