用途：在 App 自己的仓库里起一套跑在 Docker 中的真实门户（精简镜像），后端/前端接上去走生产同一套协议（TDT 自省、四道闸、iframe 托管、跨应用令牌交换），无需克隆或修改门户源码。
主要能力：onebox.sh 提供 init、up、doctor、add、status、env、smoke、dc、chain、pull、upgrade 等子命令。init 完成 docker login、拉 runtime 与 proxy 镜像、从镜像取出 compose 资产、探测空闲端口、生成 compose.env 并写入 .gitignore；up 按固定顺序铺栈（迁移→种子→各库→注册→起栈）并自动体检；doctor 逐条给出可粘贴的修法；add 把平台侧 App 拉进来陪调。
使用方式：先备齐 puller key、listingKey 与 app.manifest.json，配置 .xgent-registry.env（REGISTRY、PULLER_AUTH、ONEBOX_PROJECT、PROJECT），再执行 "$SKILL_DIR/scripts/onebox.sh" init --key <listingKey>，随后 onebox.sh up。装 @xgent/* 私有包需用发布令牌换只读令牌，不申请云账号。
适用场景：本机联调门户与自有 App、跨应用令牌交换、Kafka 接入、日志与监控（observability）验证、排练生产发版链。
限制：一台机器只起一盒（compose 项目名固定 xgent-onebox）；容器内须监听 8080；生产镜像为 amd64，arm64 机器需设 APP_PLATFORM=linux/amd64；db:seed:onebox 具破坏性且须在 register-app 之前；deployDescriptor.image 在一盒内换不了版；Kafka 机制固定 SCRAM-SHA-512，主题须以 app.<key>. 开头；一盒不承诺 App 容器间密钥隔离。其余细节暂未提供。