veris-reference

不是命令。setup、build 和 fix 会链接到步骤所需的文件：

文件	何时阅读
twin.md	设计依赖于对供应商的某项断言，或你需要了解供应商做了什么：手册、架构、操作、数据、跟踪记录
state.md	填充行和文件、沙箱内的隔离、重置、快照和基线
run.md	使用 veris run 测试更改：两个层级、镜像、运行会向工作负载提供什么、会改变判定结果的标志、退出代码，以及绿色结果能证明什么
direct.md	应用从环境中读取每个供应商的基础 URL，且不需要代理
session.md	当前工具/上下文表明存在由插件管理的沙箱：验证身份、复用拦截、归属回执并同步更改
opencode.md	现有会话是 OpenCode：提供商工具、凭据、信任、控制访问和生命周期差异
hosted.md	工程师要求运行远程测试，或代码需要重定向且 Docker 不可用：提供商配方、远程工作负载准备、跟踪证据、项目备注和清理
daytona.md	托管层选择 Daytona：已发布的 SDK、附加到现有 twin、镜像、上传、信任、出站流量、回调和删除
e2b.md	托管层选择 E2B：已发布的 SDK、附加到现有 twin、模板、上传、信任、网络策略、回调和删除
faults.md	任务与故障有关，或某个用例需要供应商无法按需触发的条件：故障行、凭据、时钟
webhooks.md	应用接收回调
troubleshooting.md	回执、退出代码、跟踪层级、证书错误、供应商形式的错误、来自 /veris/* 的 401/404，或沙箱化 Agent 的 doctor 输出分别意味着什么
evidence.md	使用现有证据和重要限制，撰写简洁的结果
proof.md	解读测试证据、调查重试/身份行为，或使用可选审计辅助工具

在经过验证的插件会话中，session.md 会用已发现的会话接口取代 CLI 操作和生命周期管理。否则，twin 操作使用 veris；veris <command> --help 会说明其标志。托管运行器命令记录在相应的提供商配方中。每个 twin 操作都有对应的动词，包括文件上传（sandbox files import）、针对单个 twin 的重置（sandbox reset <twin>）和操作列表（sandbox services operations）；绝不要对 twin 的控制 URL 使用 curl。CLI 会自行发送 Veris API 密钥，因此密钥不会被导出或打印。控制 URL 不是应用调用的地址，而供应商主机名上的 /veris/* 会返回供应商自己的 404；详情见 state.md 中的 控制 URL 及其密钥。 scripts/ 中包含可选的 record.sh 和 ledger.sh 审计辅助工具；如果调查需要这些工具，setup 第 9 步会说明如何暂存它们。常规开发不需要任务台账或单独的证明阶段。