用途：在用户自己的 Convex 部署中，把生产错误处理为一条受控的自愈流程：捕获错误、分类、定位根因、在分支上修复、按部署自身不变量认证后再提出 PR，由人工决定是否合并。
主要能力： 一是捕获，依赖 sentinel 记录生产错误（写入时脱敏）；没有捕获能力时应先安装再继续。 二是分诊，经官方 MCP 拉取错误并分类为瞬时（重试或忽略，不为此开 PR）、配置（交由 env 处理，不猜测密钥）或代码/模式缺陷（进入修复）。 三是根因分析，在 findings 总线上对相关函数运行 convex-insights、convex-advisor、convex-reviewer/convex-authz 等检查，产出带证据与 fixCapability 的发现项；根因不明时停止并报告。 四是修复，按 fixCapability 在分支上修复，不在生产直接改。 五是认证，提出前需通过：tsc --noEmit 无错误；若涉及模式或数据，在按生产快照灌入的预览上跑 migrate-rehearse 并通过模式一致性门；复现原错误输入并确认失败不再出现；被触及函数无新发现项。任一项未过则报告“已尝试但无法认证”。 六是提出，产出含修复、认证证据、原始错误与可逆性说明的 PR，标注变更类别，由人工审查合并。 七是验证闭环，合并并部署后通过 sentinel 表与日志确认错误特征不再复现（该确认不使用 insights，因为它只跟踪性能事件），若仍复现则以新证据重开。
限制：人工保留合并按钮，流程绝不自动合并或自动部署到生产；只有用户预先批准的修复类别才自动准备（默认安全集为验证器修复、补索引、增加归属检查、非破坏性回填），破坏性、超出新增检查的安全敏感或模糊变更始终交由人工决定；必须先在分支/预览修复，只有经 deploy-guard 获得新的生产同意后才推进；所有操作记入仅追加的可审计记录，数据留在用户自己的部署内；根因不明时停止，不提出不确定的修复。