用途：在真实 Kubernetes 集群依赖上验证代码改动，避免不必要的镜像构建。核心思路是本地映射沙箱——本地运行被改服务，用路由键把集群流量路由到本地进程，反复迭代直到约定的验证路径通过。
主要能力：解析集群与工作负载、复用或创建/更新沙箱、重建环境变量并启动本地服务、通过集群 .svc URL 注入路由键进行验证、失败诊断与迭代。支持集成测试、现有 e2e 套件、临时浏览器自动化、已有带标签的 Signadot plan 四类验证方式。
使用方式：优先使用 Signadot MCP 服务器，不可用时用 CLI，如 signadot cluster list -o json、signadot sandbox list -o json、signadot sandbox get <name> -o json、signadot sandbox apply -f <spec.yaml>、signadot sandbox get-env <name>、signadot sandbox get-files <name>。验证流量必须打到集群服务 URL，而非 localhost，并携带路由头：curl -sS "http://<svc>.<namespace>.svc:<service-port>/<path>" -H "baggage: sd-routing-key=<routing-key>" -H "tracestate: sd-routing-key=<routing-key>"。gRPC 用 grpcurl 加相同头。
限制与注意：路由键需逐跳传播，原始 HTTP/gRPC 客户端和异步生产者常会丢弃；沙箱本地映射用容器端口，验证流量用 Service 端口，二者不可混淆；密钥不得打印，需以 <redacted> 处理；创建隔离沙箱可自主执行，更新共享沙箱、添加公开预览端点、删除沙箱需先询问；signadot local connect/disconnect 需用户自行执行。清理时默认保留沙箱，删除命令为 signadot sandbox delete <sandbox-name>。