用途：在主机上首次安装或升级 vault-sync，部署脚本、安装调度单元并注册 skillwiki 配置。
主要能力：自动检测操作系统；解析 --mode=full|fuse-only、--role=leaf|snapshotter、--service-scope=auto|user|system、--vault-path、--max-dir-cache、--package-version/--package-commit 等参数；检查 rclone、git、launchctl、systemctl 等前置条件；复制脚本与 rclone 过滤文件；在 macOS 渲染并加载 LaunchAgents，在 Linux 渲染 systemd service/timer 并启用；执行 loginctl enable-linger；写入 vault_sync.* 配置；生成 runtime-manifest.json；支持 --dry-run 仅打印计划。
使用方式：以配套脚本执行，例如 bash packages/vault-sync/skills/vault-sync-install/install.sh --role leaf --dry-run；无头模式可用 VS_ROLE、VS_DRY_RUN 等环境变量。FUSE-only 模式仅适用于 Linux 上 rclone S3 FUSE 挂载的 wiki 路径，只安装 wiki-fuse-refresh 单元，不启用 push/fetch，也不设置 vault_sync.installed=true。
限制：sg01 为生产环境，禁止从 CI 以 --execute 运行；同一 fleet 仅允许一个 snapshotter；受保护主机安装会打印警告；仓库测试通过不等于安装完成，需按 attended 清单做实时验证并创建 live-verify.ok 标记。