核心用法
LYGO External Lattice Anchor 是 LYGO 协议栈的 Layer C（World Network）组件，专注于全球公共网络的镜像验证与同步规划。用户需先设置 LYGO_STACK_ROOT 指向受信任的 lygo-protocol-stack 本地仓库。
主要功能场景：
1. 公共镜像验证：通过 HTTPS GET 检测 LYGO Pages、GitHub raw、Star Chart 等公共端点的可用性，默认只读不写
2. 构建验证清单：将 Layer A（内核 eggs）和 Layer B（主权 seeds）的本地注册表映射到公共端点，生成 JSON 格式的验证清单
3. Star Chart 提案映射：生成 eggs 到 Haven Star Chart 的提案文件（非直接写入在线图表）
4. 外部同步规划：提供 dry-run 步骤规划，可选在显式 consent 下执行本地快照
关键命令模式：
- 默认安全模式：
--json仅输出验证结果到 stdout，零文件系统写入 - 报告写入模式：
--write-report可选写入tests/*_last_run.json - 本地刷新模式：
--refresh-local --i-trust-stack重建 manifest 和 star proposals - 快照执行模式：
--i-consent --execute-local-only唯一会修改docs/sovereign_seeds_snapshot/的路径
显著优点
安全优先架构：v1.1.1 默认零写入设计，所有变异操作需显式 opt-in，符合"最小惊喜"原则。
分层清晰验证：严格遵循 Layer A→B→C 的验证顺序，本地层（A/B）作为权威源，外部层（C）仅作为镜像，避免循环依赖。
网络最小权限：仅使用 HTTPS GET，无 POST、无凭证传输、无自动发布到 Git/HF/ClawHub，人为控制最终发布环节。
隔离执行环境：移除 os.system 和 shell subprocess，Python 构建器通过 allowlist 运行，降低代码注入风险。
透明可审计：所有写入操作明确记录到表格，签名机制（Delta9Phi963）支持溯源验证。
潜在缺点与局限性
依赖预置信任根：必须用户手动配置 LYGO_STACK_ROOT 到受信任路径，若指向被篡改的仓库会导致验证基础失效。
无自动故障恢复：QUARANTINE 状态会阻止外部扩展，但需人工介入修复 A/B 层，不提供自动修复逻辑。
功能边界严格：不直接写入在线 Star Chart，不自动 push 到任何平台，对于追求"一键部署"的用户需要额外人工步骤。
生态封闭性：采用自定义 LYGO-Sovereign-v2.0 许可证（非 MIT），协议栈术语（eggs/seeds/lattice）需要学习成本。
Python 版本依赖：要求预装 python/python3，未提供容器化封装。
适合的目标群体
- LYGO 协议栈维护者：需要验证全球公共镜像健康状态的 Layer A/B steward
- 去中心化基础设施运营者：管理 Pages/HuggingFace/Turbo 等多平台同步的运维人员
- 安全敏感型开发者：要求"默认安全、显式授权"模式的专业用户
- 学术/研究网络：需要可审计、分层验证机制的分布式系统研究者
- 主权数据倡导者：认同"本地优先、外部镜像"数据主权理念的技术实践者
常规使用风险
性能风险：公共端点 HTTPS GET 验证受网络延迟影响，批量验证可能耗时较长；建议配合 --json 输出后自行缓存处理。
依赖项风险：依赖本地 Python 环境和 lygo-kernel-egg-planter、lygo-sovereign-kernel-seeder 的协同版本，版本不匹配可能导致 manifest 生成失败。
配置风险：LYGO_STACK_ROOT 若指向未完整同步的仓库或包含恶意修改的 registry，会导致验证基准污染。建议配合 GPG 签名或 git 签名验证使用。
consent 误用风险：--i-consent 和 --i-trust-stack 标志绕过默认保护，需确保执行环境可信，避免在 CI/CD 中默认开启。
同步冲突风险："local wins"策略意味着公共端的更新不会自动覆盖本地，多节点协作时需额外设计冲突解决机制。
文档漂移风险：docs/ 目录的 manifest 和 proposals 文件需人工触发更新，可能与实际 registry 状态产生时间差。