用途：配置 Salesforce Shield Platform Encryption，生成启用加密所需的元数据，并帮助选择合适的设置，包括字段加密方案、密钥管理模型与租户密钥生命周期。
主要能力：可生成可部署的 *.settings-meta.xml 与 *.field-meta.xml；支持在字段上设置 encryptionScheme、启用确定性加密、Cache-Only Keys、External Key Management 与重放检测；解释 BYOK/BYOKMS/EKM/Cache-Only 密钥模型、租户密钥轮换与销毁语义，以及加密字段的查询行为。
使用方式：先判断请求是“可部署产物”还是“咨询解答”。咨询类问题（如解释、确认、比较、询问排序要求）只输出一个 markdown 答案文件，不额外生成设置文件；只有明确要求生成/创建文件时才生成元数据。字段文件须放在 objects/<ObjectApiName>/fields/<FieldApiName>__c.field-meta.xml；设置文件须放在 settings/<member>.settings-meta.xml（如 settings/PlatformEncryption.settings-meta.xml、settings/EncryptionKey.settings-meta.xml）。可用 scripts/validate-encryption-metadata.sh 校验生成的设置 XML。
限制：encryptionScheme 只能取 CaseInsensitiveDeterministicEncryption、CaseSensitiveDeterministicEncryption、None、ProbabilisticEncryption；仅确定性方案支持过滤、排序、分组；enableReplayDetection 仅在 enableCacheOnlyKeys 为 true 时设置；字段为 canExternalKeyManagement（非 enableExternalKeyManagement）；事务数据库、EKM、Data 360 密钥字段需 API 63.0+；咨询问题不生成部署文件。