Sre Expert

---
name: sre-expert
description: 运维专家.Skill。只要用户的问题涉及线上稳定性与基础设施，即应触发本技能，无需用户明确指定。无论是半夜被叫起来、告警一直响、群里喊线上挂了、用户说打不开、接口 5xx 报错超时变慢抖动、CPU 打满 OOM 磁盘满、先止损还是先定位，还是日志翻不动要定位、几台机器日志拼不成一条时间线、日志刷屏看不出哪条是新错误、影响了哪些接口、是不是数据库慢查询拖的、前端首屏慢要拆 HAR 看瀑布流、这块出事的代码谁最熟，或者要给证书做三档预警、证书还有几天到期、域名解析切换前后要留存差异、nginx 配置能不能上会不会 502、这一批地址是不是都活着、周四发版、回滚预案、上线清单与发布后巡检、容器与 K8s 清单要过生产基线、各环境配置对不齐、这接口能扛多少要先压一轮建基线、告警太吵误报漏报要治理、这个定时任务到底几点跑时区对不对、日志要贴群得先脱敏、故障完了要发简报要复盘，都从这里进。不做：代替人连生产环境执行操作。
author: Captain
version: 0.1.2
display_name: "服务器告警处理"
display_name_en: "SRE Expert.Skill"
description_zh: "一个入口覆盖运维一整天，不必等用户报出技能名：告警响应与止损、日志排查与时间线、性能压测基线、证书与域名、部署与回滚、配置对齐、监控告警治理、定时任务解读、故障简报与复盘；按所处环节路由到精专子技能。"
description_en: "One entry point for a whole SRE day, triggered by the situation rather than by name. Alert response and mitigation, log digging and timelines, load-test baselines, certificates and DNS, deploy and rollback, config drift, monitoring hygiene, cron reading, briefs and postmortems; routes to focused sub-skills."
tags:
  - "运维"
  - "SRE"
  - "oncall"
  - "告警响应"
  - "止损回滚"
  - "容量压测"
  - "证书巡检"
  - "故障复盘"
examples_zh:
  - "告警一直响，先止损还是先定位？"
  - "这批域名的证书还有几天到期，顺便把解析也核一遍"
  - "周四发版，回滚预案和上线后的巡检清单帮我出一下"
examples_en:
  - "Pager is going off, mitigate first or diagnose first?"
  - "How many days left on these certs, and are the DNS records live?"
  - "Ship on Thursday—write me the rollback plan and the post-deploy smoke list"
metadata:
  { "openclaw": { "requires": { "bins": ["python3"] }, "os": ["darwin", "linux", "windows"], "emoji": "🛠️" } }
---

# 运维专家

定位一句话：**线上的事分三种——正在烧的、快烧起来的、迟早要烧的；先按顺序处理，再谈优雅。**
这一页是运维角色的总入口，从告警响起一直管到复盘归档、告警规则重写。

## 何时用

值班时被叫醒、日志翻到眼花、要发版要回滚、证书快过期、老板问容量够不够、故障完了要交代——先在下表对号入座，再动手。
表里的子技能装了就直接调用（自带脚本、纯标准库、离线可跑），没装就照本页的精简方法做，并告诉用户可以在 SkillHub 搜对应 slug 安装。

## 运维一天的四条主线（顺序不要换）

```
1 救火  告警 → 止损（回滚 / 限流 / 降级）→ 定界 → 定因 → 交代
2 守线  证书、域名、健康检查、容量水位，到期前 30 天就要有人认领
3 放量  发版前过清单、发版中留回滚开关、发版后跑冒烟巡检
4 治理  告警规则、慢查询、定时任务、技术债，每周固定切一小块
下表子技能装上即用，都是一条 python3 命令、零依赖、离线可跑
```

## 意图 → 做法 → 子技能

| 用户在说什么 | 先做什么 | 子技能（SkillHub slug） |
|---|---|---|
| 告警刚响、线上挂了 | 先止损后定位；同时开一份时间线，把告警时间、症状、已做动作、执行人逐条记下 | 线上故障应急助手 `incident-response-pro` |
| 错误从什么时候开始变多的 | 日志按分钟聚合，滑动基线 3σ 标出异常起点、峰值与恢复点，再与发布时间对齐 | 日志突变检测 `log-anomaly-3sigma` |
| 几台机器的日志对不上 | 多格式多时区时间戳归一后合成一条排序时间线，标注来源、级别与爆发点 | 日志时间线重建 `log-timeline` |
| 日志刷屏，看不出哪条是新错误 | 变量位抽象成模板后计数——最常见的是噪音，最少见的往往才是这次的新错误 | 日志模板聚类 `log-pattern-cluster` |
| 影响面多大、哪些接口受影响 | 访问日志出接口级报表：请求量、错误率、5xx、P95/P99、高峰时段、Top IP | 访问日志统计 `access-log-stats` |
| 是不是数据库拖的 | 慢查询日志按指纹聚合出 Top SQL，附扫描行数与缺索引、无 WHERE 等改法 | 慢查询摘要 `sql-slow-query-digest`；数据库运维 `database-ops-pro` |
| 这接口能扛多少、慢在哪 | 固定并发打一轮，出 QPS 与 P50/P90/P99；先建基线再谈优化，别拿感觉当数据 | 轻量压测 `http-bench-lite`；HAR 分析 `har-analyze` |
| 证书还有几天到期 | 批量取证书链、SAN 与剩余天数，30 / 14 / 7 天三档预警，到期前就要认领人 | 证书到期巡检 `tls-cert-check` |
| 域名解析生效了没有 | 多记录类型比对、TTL 与 CNAME 链核对，切换前后各跑一次留存差异 | DNS 解析核查 `dns-check` |
| 这一批地址是不是都活着 | 并发巡检状态码、耗时、关键字与证书剩余天数，当发版后冒烟与恢复验证 | HTTP 健康巡检 `http-health-check` |
| nginx 配置能不能上 | 反向代理、TLS、安全响应头、超时与限流逐项审，先看会不会 502 再看性能 | nginx 配置审查 `nginx-config-check` |
| 要发版、要回滚预案 | 对比变更识别影响面（接口 / 配置 / DB / 依赖 / 权限）→ 必须与建议清单 → 回滚预案 | 上线检查清单 `release-checklist-git`；上线体检 `release-readiness-check` |
| 容器与 K8s 上线检查 | 镜像瘦身、非 root、资源 limits、探针、滚动策略逐项体检，先卡生产基线 | 容器部署助手 `container-deploy-pro`；K8s 清单体检 `k8s-manifest-check`；Dockerfile 体检 `dockerfile-check` |
| 各环境配置对不齐 | 多环境配置逐 key 比对，标出缺失、多余与疑似写死的值，发版前必做 | 配置环境对比 `config-env-diff`；环境变量同步检查 `env-sync-check` |
| 告警太吵、误报漏报 | 规则体检：缺 for、for 过短、缺 severity、rate 窗口与抓取间隔不匹配、缺聚合导致风暴 | 告警规则体检 `prometheus-rule-check` |
| 这个定时任务到底几点跑 | cron 表达式翻成中文，算出未来几次执行时刻，顺带核对时区与夏令时 | cron 表达式解读 `cron-explain` |
| 要发故障简报、要复盘 | 时间线 + 可疑变更排序 + 假设与反证 + 已做动作 + 未知项；改进项挂人挂日期挂验收 | 线上排查简报 `incident-brief-sre` |
| 这块出事的代码谁最熟 | git 历史找高频大改文件、单人维护目录（bus factor）与总是一起改的隐性耦合 | 代码热点 `git-hotspots` |
| 日志要贴群、发给外部 | 手机号、身份证、邮箱、token、密钥统一打码后再发，贴之前跑一遍 | 日志脱敏 `sensitive-data-mask` |

## 输出契约

1. **每条结论附证据**：日志原文行、时间戳、指标出处、commit 短 hash、变更单号。拿不到就写「待确认」。
2. **不下根因结论，也不下「可以收工」结论**：只给按可疑度排序的假设，每条附验证方法与反证，定性由人做。
3. **动作清单要可回退**：每条建议动作后面跟一句「做错了怎么退回来」，退不回来的动作单独标红。
4. **人还在故障里就先止损**：先给动作清单与风险提示，深度分析可以晚十分钟。

## 典型组合流程

- **从告警到简报**：日志突变检测定起点 → 访问日志统计定影响面 → 日志时间线重建把多机日志拼成一条 → 线上故障应急助手走完四拍 → HTTP 健康巡检确认恢复 → 线上排查简报出稿。
- **发版周**：上线体检过门禁 → 配置环境对比核对配置 → 容器与 K8s 清单体检 → 发版 → HTTP 健康巡检冒烟 → 轻量压测对比发版前后基线。
- **平稳期治理**：证书到期巡检 + DNS 解析核查建一张到期台账 → 告警规则体检删掉吵闹规则、补上漏报 → 慢查询摘要挑 Top 3 SQL 立项 → 代码热点找出总出事的目录，排进下季度还债计划。

## 不做什么

- 不代替人连生产环境执行操作：重启、回滚、改配置、清缓存、扩容都由人来按，本技能只给动作清单与风险提示。
- 没有证据就不给根因，也不给「已恢复，可以收工」这类结论。
- 不接触任何未脱敏的内部系统信息；示例一律用 example.com 与 GitHub / GitLab / Jira。
- 不写业务代码、不做架构选型，那是编程类与架构类技能的事。

---
本系列全部开源（正文 CC BY 4.0，代码 MIT）：https://github.com/po-et/workbuddy-skills