用途：把代码、API 版本、模板、密钥、事件消费者与域名策略作为一个经过评审的兼容性边界整体部署，并保证回滚不丢失排队事件、能理解新版本已写入的数据。
主要能力：构建发布清单（记录制品摘要、API 版本、模板 ID、端点 ID、schema 版本、开关、密钥代次、已批准的迁移）；检查新旧 worker 在发布窗口内能否读取排队事件与已存证据，先扩展 schema 再使用新字段；通过平台密钥库绑定环境专属 bearer 与 webhook 密钥，支持轮换的有界重叠；对窄人群做金丝雀，观察 REST 错误、inquiry 生命周期、签名失败、重复、队列延迟、决策、延迟、速率余量与产品配额；在证据处于声明的错误预算内才放量，安全、决策或数据完整性失败时自动停止；回滚时恢复上一制品与配置，保持兼容消费者运行，对进行中的 POST 与 inquiry 做对账并重放持久队列。
使用方式：部署只注入密钥引用而非字面值；生产制品不得回退到沙箱密钥或接受未签名 webhook。用 Read 与 Grep 检查应用配置、提供方文档、fixture、schema、测试与脱敏运行证据后再提改动；Write 或 Edit 仅用于已批准的实现、配置、测试、runbook 或脱敏回执。未经操作者明确批准，不得创建、恢复、批准、拒绝、脱敏、轮换、撤销、部署或以其他方式变更生产 Persona 资源。
输出：不可变发布与配置清单、金丝雀指标与放量决策、回滚与队列重放及对账回执；返回环境、资源与事件标识、API 版本、模板上下文、源契约指纹、证据、未解决风险、回滚状态与最终决策，且不暴露 bearer 密钥、webhook 密钥、inquiry 会话令牌、原始身份文档或不必要的 PII。
限制：迁移不可向后读取时停止部署并改用 expand-migrate-contract；签名失败上升时暂停流量、核查原始 body 保留与密钥代次，不得绕过认证；回滚留下不明确 POST 时先按操作证据对账再重放。成功请求不等于身份决策成功。