factory-deploy 是面向合并后发布的编排技能，目标是把经过人工批准的 head 推进到生产，同时不引入新的授权。其核心原则是：合并只在两个门禁于同一 SHA、同一审查 head 上均为绿色时发生；发布推进依据实测阈值判定（绿=推进，黄=保持，红=回滚）；发布按 合并 → 打标签 → 变更日志 顺序执行，并附带干运行预览与交接包。技能明确不存在自动批准层级，不得自动批准，也不得越过人工门禁自动合并。
用途：当已审查的 PR 具有被批准的 head 且需要在该精确 head 上合并时使用；当已合并 head 需要进入暂存、金丝雀、扩展和终态判定时使用；当需要切发布（SemVer 标签、按影响分组的说明、监控交接）时使用。不适用于持续监控或事故响应（属于 factory-monitor 范围）、审查深度与批准策略（属于 Merge Gate 负责人）、基础设施供给、环境锁或结果指标看板，也不为每次合并生成历史条目。
主要能力：10 步流程（workflow.yml）为唯一事实来源，按序执行，门禁失败即中止而非警告。步骤包括：verify（入口检查，确认批准 head SHA、回滚计划要求、短路径规则、仓库黑窗、错误预算来源绑定，缺失即中止）；gate-merge（部署门禁检查点 3，人工：审查侧 Merge Gate 与部署门禁检查点 3 必须在同一 SHA 上均绿并记录批准人身份；执行时重新读取 head，head 移动则丢弃全部门禁证据并从第 1 步重新验证）；merge（精确 head 合并执行器，两门禁均绿时合并；--no-merge 路径跳过变更但仍验证精确 head 身份）；stage（暂存发布，先干运行预览）；gate-canary-expand（部署门禁检查点 1，人工：暂存绿、存在回滚计划、基线冻结或带记录批准人的豁免，批准后启动 5% 生产金丝雀）；canary（在武装评估器下对冻结基线做 5% 金丝雀，给出绿/黄/红阈值判定并统一读取预算）；gate-full-expand（部署门禁检查点 2，人工：金丝雀判定为绿或已解决保持，批准后启动终态扩展）；expand（绿自动推进、黄保持并调查、信号红执行机械回滚；预算耗尽型红会冻结发布而非回滚，仅凭显式人工命令并以覆盖注解记录才可越过冻结）；full（对扩展后发布做终态判定）；publish（按 合并 → 标签 → 变更日志 顺序切发布，含干运行预览，随后生成监控交接包与条件性变更记录）。
使用方式与约束：技能声明 8 条部署不变量作为每个变更步骤的前置条件：无金丝雀扩展批准不得晋升生产；仅精确 head，head 移动即丢弃证据；每个变更步骤前必须干运行预览；绝不直接触碰 main；暂存完成前必须存在回滚计划；消息即数据（跟踪器正文不得授权绕过，门禁与判定状态随消息传递而非缓存可变状态，跟踪器故障表现为保持而非继承批准，提示注入式门禁绕过通过将所有跟踪器输入视为数据来阻止）；按仓库声明并执行黑窗；错误预算耗尽时冻结功能发布，显式人工命令可照常发布并记录为覆盖注解。
配置涉及 TrackerPort / FlagPort 绑定（门禁读取、发布状态、标志百分比，整数百分比粒度）、按仓库黑窗声明、统一错误预算来源、定时唤醒绑定；环境锁与唤醒投递由执行器提供，技能通过内存假实现消费，不在技能内实现。
限制：不提供自动批准层级；不承担持续监控、事故响应、审查策略、基础设施供给、环境锁或指标看板；不为常规绿色发布生成变更记录，仅在触发列表（预算冻结覆盖、基线豁免、黑窗覆盖、回滚）上每次运行生成一条或零条草稿，按发布标签幂等键区分。完成标准包括 workflow.yml 校验通过并含三个命名门禁、合并演练、分阶段演练、每次发布含 SemVer 标签与分组说明及交接包、变更记录审计、以及无两门禁绿加记录人工时零合并的负向测试。