docs: govern renderer rollout scope

.agents/skills/unidesk-cicd/SKILL.md

@@ -71,6 +71,11 @@ bun scripts/cli.ts hwlab nodes control-plane legacy-cicd --help
   - 当前 GitOps catalog 落后 source 时，plan 必须把累计发布欠账与本次 base 到 source 的请求范围分开显示；
   - 有效范围大于请求范围时标记 `expanded`，`release trigger` 必须在发送 webhook 前拒绝；
   - 计划范围扩大时先修复 source range、源码、YAML 或项目 planner，再重新 plan；
+  - renderer rollout 范围必须对应实际 GitOps Pod template diff：
+    - renderer 重建完整 runtime tree 并改写未选 workload 的 source identity 时，plan 必须把全部实际受影响 workload 计入 rollout；
+    - renderer-only 变化不得误计为镜像构建；
+    - 只有未选 workload 的 manifest 和 source identity 均保持不变时才允许显示局部 rollout；
+    - renderer 拆分后的全部 materialization 源码路径必须纳入 planner 输入集合；
   - artifact catalog 必须从 owning YAML 声明、且与 Argo/promotion 相同的 GitOps read URL 与 branch 恢复；禁止用 source mirror 中的同名 branch 代替 GitOps authority；
   - 审阅通过后运行 `release trigger --confirm`；该命令只向 PaC 发送 webhook，由 PaC 创建 PipelineRun；
   - 禁止裸创建 PipelineRun、由 CLI 直建 PipelineRun，或恢复 Gitea 自动 hook；