用途：以不可变制品、环境绑定、金丝雀流量、对账和回滚流程，部署 Salesforce 连接型应用；独立于 Salesforce 元数据发布客户自有适配器代码，并验证目标 org、密钥、API 契约与业务不变量。
主要能力：冻结制品摘要、源码 SHA、依赖与配置 schema、Salesforce API 契约和迁移集；核对目标环境、org 身份、应用类型、主体、作用域、权限、密钥引用、出站与可观测性；先用合成 fixture 部署预览并验证启动、健康、超时、脱敏、幂等与回滚；经批准后绑定授权 sandbox 做只读与有界变更契约检查；定义生产金丝雀比例或工作负载、时间盒、停止信号、共享限额预算和对账查询；提升同一制品并在切流量前核对 org 身份，监控技术与业务不变量，越界即停；对账结果后完成或回滚，撤销临时访问并记录制品、部署与验证 ID。
使用方式：用 Read、Glob、Grep 检查已批准仓库与证据文件，用 WebFetch 复核 Salesforce 一方文档，仅用 Write 或 Edit 生成无密钥计划、fixture、配置与脱敏回执。认证仅在环境批准后由目标平台注入密钥引用，不得将 Salesforce 令牌、密钥、用户名、org ID 或生产域名写入镜像、前端包、构建日志或制品。
限制：未获具名批准，不得部署不同制品、注入生产密钥、路由生产流量、运行迁移或扩大金丝雀。制品或配置摘要变化须停止提升并重建评审证据；连错 org 时切断流量、吊销凭据、评估数据暴露并启动事件响应；Salesforce 限额余量低于批准停止信号时暂停接入并对账排队工作。示例回执：artifact=sha256-recorded; target=production; org=matched; canary=5-percent; signals=healthy; reconciled=yes; rollback=ready。建议先在最低风险授权 org 运行并保存脱敏回执。