用途：Overwatcher 在 GitHub 仓库被推送或其 CI 工作流成功时，把 Docker Compose 服务部署到虚拟机上。所有 API 操作通过 owctl 完成，不应手写 API 调用或处理代理令牌。
主要能力：管理项目（创建、查看、列表）、把 GitHub 仓库映射到 compose 服务、绑定或安装代理、检查 GitHub App 访问权限。
使用方式：先安装 owctl：curl -fsSL "${OVERWATCHER_URL:-https://overwatcher-web-production.up.railway.app}/cli.sh" | sh，并 export PATH="$HOME/.local/bin:$PATH"。owctl 读取 OVERWATCHER_API_KEY 或已保存的登录；无密钥时让用户运行 owctl login 或设置环境变量，切勿回显密钥。常用命令：owctl project list --json、owctl agent list --json、owctl project get <project> --json、owctl project create <project> --compose-file <path> --environment production --json、owctl service set <project> -f - --json、owctl agent bind <agent-id> <project> --json、owctl agent install --ssh <target> --project <project> --json。
适用场景：需要把仓库 CI 与 VM 上 Compose 服务自动关联的部署流程。
限制：compose 文件须已存在于 VM；缺少 sudo、systemd、curl 或 Compose v2 时须先修复；无 workflow 时推送即部署可能拉取旧镜像；安装代理需明确批准，失败后不要盲目重试；GitHub App 权限不足时 CI 通过但不会部署，且 GitHub 不会重发早期事件。