docs: record cd stale origin guard

docs/reference/deployment-publish.md

@@ -117,6 +117,11 @@ kubeconfig、registry、Docker socket、Secret/ConfigMap mount 和 CLI 行为。
 2. 通过受控维护入口进入该容器，在容器内建立干净 HWLAB worktree，并快进到
    `origin/main`；不得直接使用 `/home/ubuntu/hwlab` 等历史任务集合目录作为
    发布真相。
+   如果 worktree 是从另一个本地目录 clone 出来的，必须先确认 `origin` 指向
+   `git@github.com:pikasTech/HWLAB.git` 或等价 GitHub source of truth，再
+   `git fetch origin main`。DEV CD 的 target-ref guard 会比较 HEAD 与
+   `origin/main`；本地 clone 的 stale `origin/main` 会触发
+   `target-ref-head` blocker，不能通过跳过 guard 处理。
 3. 在同一个容器内执行 `node tools/hwlab-cli/bin/hwlab-cli.mjs cicd submit ...`，
    用 `status`、`logs`、`report` 查询后台 job，而不是前台直接跑长脚本。
 4. 至少完成一次 CI artifact publish 和一次 DEV CD apply，再用公开