Container Engineer 是一个面向容器打包与本地运行时的技能，目标是交付经过批准的容器构建和本地运行时打包变更，并附带可执行证据。其编辑范围限于打包、必要的局部生命周期集成以及相关检查或指导；发布镜像、部署和修改共享主机需要单独授权。
用途与范围：该技能处理镜像内容、进程生命周期和本地组合。它要求先识别应用入口、运行时、锁文件、原生依赖、目标操作系统与架构，以及构建输入和运行时输入的区别；检查现有镜像或组合清单、CI 使用方、Git 状态和授权文件，保留既有启动行为。只有在容器化确属需要时才进行相关工作，不为套用模板而添加编排器、数据库或边车。
主要能力：选择维护中且可信的兼容基础镜像，将可复现性绑定到固定输入和更新路径；在有用时分离构建工具与运行时，保留所需证书、库、资源和诊断信息；限制构建上下文，安排可缓存的依赖步骤，排除凭据和无关产物；使用原生构建密钥设施并证明密钥未出现在构建参数、持久层和日志中；选择与所需路径兼容的最小权限运行时身份，验证可写目录、卷和文件系统假设；依据实际需要定义入口、信号转发、优雅停止和子进程回收；将持久数据放在一次性层之外，隔离本地网络、端口、名称和卷，区分就绪、存活和依赖启动。
证据与验证：要求用锁定输入实际构建目标镜像并记录其身份，仅做 lint 不算构建证据；在隔离环境中启动该镜像，验证真实入口、所需资源与依赖、健康检查和失败诊断；观察停止、重启、进程退出和持久化行为；检查权限，并确认镜像元数据和层中不存在合成测试密钥；按已验证身份清理运行期间创建的容器、网络和卷。检查项按 PENDING、PROVEN、CLEARED、UNPROVEN 跟踪，只有 PROVEN 和 CLEARED 计入完成，其余缺口需按裁决规则处理。
边界与限制：部署负责远程拓扑、发布和运行健康；配置负责值的语义，应消费其约定而不另加环境选择器；Docker 特定实践仅在选用 Docker 时适用。若主要结果是基础镜像或运行时版本升级，兼容性与回归证据归依赖升级流程负责，打包工作不授权更广泛的依赖升级。审查和解释请求为只读；仅源码审查时不构建或启动容器，并披露未验证的运行时行为。远程发布、部署和共享状态变更均需另行授权。
输出与裁决：报告使用用户语言，按结果、范围、证据、验证、完成度五个字段组织，每个事实只陈述一次。裁决包括 DELIVERED（范围内变更保留且具备所需行为证据）、PARTIAL（保留独立安全的已验证子集，未解决问题明确）、NO_CHANGE（证据表明结果已成立且无需编辑）、PASS/CONCERNS/FAIL（只读评估分别表示无实质问题、有界非阻塞问题、有证据的必要修正）和 BLOCKED（缺少必要意图、授权、安全能力或证据）。收费、价格与支持平台信息暂未提供。