用途：为本地存放 RED（真实、可识别）数据落实“三道锁”防御姿势，使一次入侵不足以暴露客户数据：设备密码、加密存储密码、age 密钥三者分离。
三道锁：一为设备层，FileVault 全盘加密、强登录密码与短自动锁屏，防丢失、被盗或 U 盘启动；二为存储层，RED 数据放在专用加密卷（加密 APFS 或 AES-256 .dmg），不放在文档目录，也绝不放入 iCloud/Dropbox；三为文件层，每个 RED 文件用 sops/age 加密于静态存储，age 密钥单独保存，并在无网络虚拟机/容器中处理。
非破坏性：默认 --check 只做只读探测（fdesetup status、查找 sops/age、检查路径存在），不会移动、删除或加密数据，也不会执行 fdesetup enable、hdiutil、age-keygen 或 rm。它报告每道锁的 ✓/✗，并为每个 ✗ 打印由用户自行审查执行的修复命令。
用法：python3 skills/vault/scripts/vault.py --check 进行状态检查与清单；加 --json 输出结构化状态；用 --store-path 指向自有 RED 存储以验证其未被云同步。可选受控辅助：--init-age 仅在该明确标志下生成 age 密钥且不覆盖已有密钥；--init-store 仅打印加密存储创建命令，不执行创建，并拒绝云同步路径。lock_status() 可导入，返回 device、store、perfile 三部分状态。
适用场景：需要把真实客户或会话数据保存在本机、并要求密码学隔离与最小暴露面的个人或小团队。限制：仅针对 macOS 的相关工具与命令；不代为处理、加密或删除 RED 数据，无破坏性默认操作；其他平台支持与具体环境需求资料暂未提供。