用途：把一次基础设施变更从意图推进到已验证效果，覆盖变更前准备、apply、效果验证、可逆性、密钥、验证工具与恢复。
主要能力：要求以不可混淆的标识命名目标（账号/项目 ID、集群端点、主机密钥与地址、backend 与 workspace、节点与 VMID、zone ID），prod 只是标签；apply 前紧贴最新状态生成计划，拒绝过期或禁用 refresh 的计划；先读 destroy 与 replace 计数，非销毁变更出现 destroy 或强制替换即停止；空白参数视为取值，优先显式命名对象而非运行时解析的过滤器。
使用方式：防火墙、sshd、认证或路由变更前保留独立回退通道（第二会话、控制台或带外路径）并设置定时回退；apply 一次只做一件事，有流量时用金丝雀对比，无流量时逐对象推进并保留旧路径；不得为让 apply 通过而关闭校验器、锁、删除保护、健康检查或策略；失败的有破坏性工作流不得盲目重跑。
效果与限制：效果检查须在消费端路径运行（套接字证书、解析器应答、对端路由表、监听端口、镜像摘要、真实身份请求），provider create、Synced、Compose up 等控制面证据不算闭环；需等待传播窗口，并指定会在回归时告警的监控。revert 只还原声明，无法还原 schema 迁移、轮换密钥、已签发证书、缓存 DNS、已销毁对象等，需各自预先捕获反向方案。状态与计划文件含明文密钥，不得进入 Git 或 CI 产物；action 固定到完整 commit SHA，镜像固定到 digest；CI 经 OIDC 访问云。扫描器只证明工件属性，不证明服务可用。备份须经计时恢复并打开结果验证。资料未提供具体安装命令与价格信息。