用途：一次性把当前仓库接入 Veris 依赖沙箱。沙箱是代码所调用服务的有状态孪生体，代码本身不被修改，仍保留生产主机名、凭据和客户端栈，由 veris-proxy 在进程外重定向出站 HTTP(S) 流量。该技能生成让一条命令可用的产物并留在仓库中，避免后续会话重复推导。
主要能力与产物：.veris/run.sh 记录确切的 veris-proxy 运行调用；.veris/setup.json 以数据形式记录 environment id、镜像标签、workdir、挂载、测试命令；Dockerfile.veris 仅在推导确实需要时记录测试如何构建成镜像。
使用方式：先运行 scripts/preflight.sh。若退出码为 0 且 .veris/run.sh 存在，说明已完成，停止即可。preflight 每次只指出一个缺失前置条件并给出修复方法，按其执行后重跑。其中两项需要用户：凭据（VERIS_API_KEY 通过带外方式提供，不写入仓库；若已注册 veris MCP 服务器，则为该服务器的 X-API-Key 头）以及测试目标环境。安装二进制需先询问，且不要覆盖可用的现有安装。前置条件无法满足时应停止，不得使用指向沙箱的 base URL、手写 --config、自建隧道或拦截、或省略 --image 的运行。
沙箱状态通过 veris MCP 工具驱动：get_testing_guide、get_environment、create_sandbox、get_sandbox、reset_sandbox、promote_sandbox、delete_sandbox。若不可用，给出注册命令并停止：claude mcp add veris --transport http "$VERIS_API_BASE/mcp" --header "X-API-Key: $VERIS_API_KEY"。连接后调用 get_testing_guide 并完整阅读，它是沙箱状态（播种、故障、时钟、回调、诊断）的权威，但传输方面以代理为准。
每次运行都使用 --image，因此测试需能在容器内运行；镜像无需 Veris 专有内容，属常规 docker 化。随后写入 .veris/run.sh 与 .veris/setup.json，并告知用户这些文件值得提交，是否入库由用户决定。最后做一次冒烟运行：.veris/run.sh -- <调用依赖的最小测试>，代理会打印回执；回执列出环境服务即完成。若对映射主机出现连接或证书错误，通常是 SDK 自带 CA 所致，诊断与两次重试修复见 integration-testing。
限制：不在此处播种或提升 world；安装二进制、注册 MCP 服务器或向新的外部目标发送仓库代码前需先询问。