用途：为 ESP32 固件量产前的 Secure Boot v2（SBv2）与 Flash Encryption（FE）启用做方案规划、演练与验收把关，核心原则是先演练后烧录、密钥治理先于技术实施。
主要能力：按芯片核对 SBv2 支持与算法（如 ESP32 rev 3.0+ 与 ESP32-C3 官方页描述 RSA-3072/RSA-PSS）；梳理公钥 SHA-256 摘要入 eFuse 的槽位差异（ESP32 仅 1 个，C3 最多 3 个，可用 KEY_REVOKEX 不可逆撤销）；说明 FE 的 AES-256、密钥存 eFuse block1 且烧录后写+读保护、软件不可读回；区分 Development 模式明文串口烧录 ≤3 次与 Release 模式烧保护位后只能经 OTA 升级；给出启用顺序建议（先 SB 后 FE，具体步骤以官方 security 文档为准）。
使用方式：先做 Preflight（idf.py --version、芯片型号与 revision、是否已有 OTA、烧录工具可用性、密钥现状）；在开发阶段完成 rehearsal（密钥生成、签名、开发模式 FE、OTA 签名镜像升级、失败回滚）；烧录前完成密钥治理门禁；产线按官方文档烧录 eFuse 并小批量试产验证。
适用场景：量产前安全方案启用、密钥治理、SBv2/FE 技术事实核对、与 OTA 组合的升级通道评估。
限制：eFuse 一次性不可逆；公钥摘要须写保护但不可读保护；私钥永不进设备；ED25519 方案归属为 UNVERIFIED 不写；各芯片最低 IDF 版本未验证；OTA 回滚与升级实现、真机验证、发布门禁分别交由 esp32-ota、fw-hil-testing、fw-release-gate；TPM/可信执行与云端 KMS 集成不展开。