用途：Capsem 镜像构建以 profile 为主导，config/profiles/<profile_id>/profile.toml 是 profile 账本，同级文件管理包、MCP 声明、规则、检测、提示、构建钩子与 guest root 种子文件。capsem-admin 校验 profile 输入并物化后端构建工作区，Python 构建后端仅在 admin 构建轨道调用时渲染 Docker 模板并生成资产、构建账本和 OBOM。
主要能力：支持 profile 派生资产重建、内核与 rootfs 分片构建、按架构生成资产清单与 BLAKE3 校验、构建账本 JSONL 记录、EROFS 压缩与双重大小预算检查、禁止前缀扫描，以及通过 build.sh 安装官方二进制。
必要用法：使用 admin/just 配方进行产品镜像工作。常用命令包括：just _build-assets code [arch]；just _build-kernel arm64 code；just _build-rootfs arm64 code；just _build-assets 会运行 doctor、validate 与 build；just _cross-compile [arch] 在容器内构建代理二进制、前端和 Linux deb；uv run --project build_system --frozen capsem-builder audit 解析漏洞输出。添加包时编辑 profile 自有包文件并运行校验路径，再用 just _build-assets code 重建，最后在启动的虚拟机内用 capsem-doctor 验证。
限制：不得在 profile.toml 手工添加哈希或大小字段；不得编辑生成的 Dockerfile，Docker 模板位于 config/docker/；后端工作区不作为配置根或第二 profile 目录；build.sh 仅在 rootfs 镜像构建时运行，不得烘焙凭据、用户状态或运行时设置；验证必须为黑盒方式。部分内容暂未提供。