用途：在 Snowflake 部署与数据库迁移场景中，把分散在 Terraform、schemachange 与 BCR 中的风险收敛为一道基于证据的只读闸门，用于发布前审查和部署后校验，不执行任何变更操作。
主要能力：核心是确定性分类脚本 scripts/analyze_deploy_evidence.py，接收 schema-v2 投影与其可信 SHA-256，输出隐私安全发现、带时间戳的零变更状态、有序只读检查与部署后不变量。
覆盖范围：Terraform state/plan 解析与 detailed exit code（0 且 changes=0 为零变更候选；2 为有变更预览；其他为非零失败）；既有 grant 的导入核对与零变更计划要求；provider 2.x 预览特性与迁移分段清点；V/R/A 迁移分类与 checksum 漂移；BCR 清单；受影响对象分母核对；状态备份回执；回滚或前向修复测试；dbt Project 对象清点。
使用方式：收集带时间戳、绑定账号/角色/后端/CI 提交的回执，从可信渠道独立取得包 SHA-256，然后运行： python3 "${CLAUDE_SKILL_DIR}/scripts/analyze_deploy_evidence.py" --input ./snowflake-deploy-evidence.json --as-of '<current-utc-evaluation-timestamp>' --trusted-bundle-sha256 'sha256:<digest-from-trusted-ci-or-artifact-channel>' 判定为 PASS_AS_OF，仅在该时间戳内有效，且不代表可以执行 apply。
限制：绝不自动运行 terraform apply/destroy、state 编辑、schemachange deploy、变异型 snow sql 或 Snowflake DDL/DML；不得手改 terraform.tfstate 或 CHANGE_HISTORY；不得就地修改已应用的版本化迁移；不得把 repeatable checksum 变化当作错误或免费重跑；不得将版本信息固化为长期建议；回执须脱敏凭证、令牌、私钥、口令、敏感 plan 值与客户数据。分类器是纯 JSON 读写器，不调用 Terraform、Snowflake 或 shell；通用查询历史回执不能作为部署证明；缺失证据应显式列为发现，其他环境成功命令不构成部署回执。