用途：在不泄露变量值、不选错项目或环境、不把环境变量变更误认为已部署变更的前提下，操作已有的 Vercel 项目。适用审计、新增、更新、同步 Vercel 环境变量；诊断尾随空白或跨服务商值不一致（不打印值）；验证 NEXT_PUBLIC_* 是否被编译进新部署；检查部署保护或对受保护部署做冒烟测试；附加或验证自定义域名（不假设 DNS 服务商已变更）；创建显式按需 Preview 部署。不适用于生产部署执行（用 vercel-deploy）、创建 Vercel 项目或连接 Git 仓库、为每个分支开启自动 Preview、在外部 DNS 服务商处编辑 DNS。
主要能力：先做项目守卫，调用 API 校验 VERCEL_PROJECT_ID 与 EXPECTED_PROJECT_NAME 是否与 playbook 一致，不一致即停止；按 API 的 rootDirectory 决定 CLI 运行目录；无需 vercel link，直接写 .vercel/project.json 并确认其被 git 忽略；用 npx vercel env ls 逐环境盘点元数据；用字节数与 SHA-256 指纹比对值而不打印值，禁止用 echo、wc -c <<< 或 here-document（会多出换行）；用 printf '%s' 管道执行 vercel env add/update，分支覆盖需显式授权；环境变更只对新部署生效，Preview 需显式按需部署；可校验 NEXT_PUBLIC_* 是否进入新构建产物，并检查部署保护与域名、TLS。
必要用法：先设置 VERCEL_TOKEN，并确认 curl、python3、npx、sha256sum 或 shasum 可用；处理值前执行 set +x；任何变更前重复项目守卫；命令保持原样，例如 npx vercel env ls "$TARGET" --token="$VERCEL_TOKEN"、vercel env add、vercel env update、vercel deploy；域名添加不加 --force，外部 DNS 按自身 runbook 操作。
限制：禁止在命令行传明文密钥，禁止 vercel env pull 检查敏感值（会写明文到磁盘），禁止输出值、绕过密钥或指纹；生产部署、创建项目与自动 Preview 不在范围内；无法确定的信息暂未提供。