用途：OpenDeploy Ops 用于首个部署落地后对 OpenDeploy 线上服务进行监控、告警查看与服务操作，覆盖只读检查与需要同意的线上变更。
主要能力：只读检查网关与平台状态（opendeploy status --json、opendeploy doctor --json）；查看项目、服务、部署与依赖的状态、健康历史、指标和日志；查看配额与账单；查看活动告警、告警历史与备注；对服务执行重启、停止、启动、调整 CPU/内存、端口访问开关；对部署执行重试、取消、重启；查看版本并执行回滚（--confirm-rollback）与晋级（--confirm-promote）。
必要用法：调用前需运行全局 CLI 版本门禁：npm list -g @opendeploydev/cli --depth=0 --json、npm view @opendeploydev/cli version --json、opendeploy preflight . --json。若全局 CLI 落后于 npm latest，应移交 opendeploy-setup 并询问是否更新。线上变更（重启、停止、启动、重试、取消、回滚、晋级）需要 CLI 0.1.19+，后端 ConsentGate 要求 X-OpenDeploy-Consent: live_service_change。不要尝试 confirm=true 等 body/query 变体。始终加 --json 便于机器解析；不要使用 --show-secrets，除非用户明确要求。不要定义 od() 等 shell 函数别名，因自动批准钩子会拒绝 shell 组合（;、|、&&）。
回滚合同：仅返回 200 或“rollback successful”不算成功，响应必须包含非空 deployment_id。若缺失，视为未应用并报告后端假成功问题。回滚后需用 opendeploy deploy wait <id> --follow --json 等命令读回部署、服务与版本状态，只有部署进入终态成功、服务读回显示目标版本已上线且近期运行时健康/日志未显示旧版本仍在运行，才能确认回滚完成。
告警生命周期：确认、解决、抑制、告警支持的支援介入与事件备注应移交 opendeploy-alarms；无告警 ID 时移交 opendeploy-oncall。不要用 od_* bearer token 对 /v1/alarms/* 或 /v1/alert-rules/* 调用 DELETE，删除需提供仪表盘交接 URL。
限制：默认只读；不得编造未列出的变更命令。不要打印 env 值、解密密钥响应、bearer 头、绑定签名或 SSL 私钥，只显示键名。若服务配置端口、运行时 PORT 与观测端口不一致，报告不一致并移交 opendeploy-debug；依赖主机名命名空间后缀不一致按平台问题报告。