技能介绍

解决的问题

阿里云 WAF 3.0 的业务区域只有 cn-hangzhou 和 ap-southeast-1 两个，且每个区域对应独立的 InstanceId。运维人员需要定期核对 CNAME 域名资产、SSL 证书有效期、Bot/CC 攻击事件、流量趋势、HTTP 状态码异常以及防护状态（告警、DDoS、防护暂停）。逐区域手动执行多个 API 调用不仅繁琐，还容易漏项，或把 API 报错误读成「零攻击」。

工作方式

技能以 aliyun waf-openapi CLI 插件为通道，按四个阶段执行：

阶段 1–3（环境与资产）：初始化可观测性配置，校验 CLI 版本与凭证，逐区域拉取实例列表、CNAME 域名与证书信息；
阶段 4（分维度巡检）：对每个区域的每个实例依次执行 5 组查询——防护模板统计（仅限 bot_manager 场景）、攻击事件（每实例 3 次调用）、流量分析（基准 + 环比）、HTTP 状态码趋势（4xx/5xx）、防护状态；
环比比对：按 (基准 - 对比) / 对比 计算变化率，±50%–100% 标记「关注」，超过 ±100% 标记「异常」；
报告生成：调用 scripts/verify_output.py 校验日志完整性，按区域分组输出结构化报告，每个数据点都可追溯到对应的 API 调用。

适用边界与注意点

仅覆盖 WAF 3.0 的两个业务区域，其他 regionId 不适用；
命令行只接受 --region，使用 --region-id 或 --biz-region-id 会报错或路由错误；
所有调用均为只读（Describe/List），不会修改任何配置；
describe-defense-rule-statistics 仅支持 bot_manager 场景，其他防护场景返回 DefenseSceneNotSupported；
报告严格区分 API 报错与空结果，QUERY FAILED 超过 50% 时结论标记为「incomplete assessment」；
describe-domains 的 --page-size 必须为 10，更大值会触发参数错误；
凭证需在会话外预先配置，技能不会读取或询问 AK/SK。

截图预览

使用场景

在跨地域部署场景下，需要同时盘点阿里云 WAF 3.0 在 cn-hangzhou 和 ap-southeast-1 两个业务区域的实例、CNAME 域名与 SSL 证书资产，输出统一的资产清单。
收到 Bot/CC 攻击告警后，需要逐实例核对 bot_manager 防护模板的拦截记录，确认攻击是否真实发生以及拦截量级，而不是只看告警标题。
大促或版本发布后，需要对比过去 24 小时与前一周期的 QPS、带宽和流量 TOP URL，找出变化率超过 50% 的异常波动并定位来源。
季度安全审计前，需要一次性核查 4xx/5xx 状态码趋势、DDoS 防护状态、告警列表和防护暂停状态，生成可追溯的巡检报告供合规留档。