fix: 隔离 HWLAB production 交付身份

docs/reference/hwlab.md

@@ -21,6 +21,16 @@
   - patch 不得改变交付 authority 或冒充终态；
   - 结论必须写回 owning YAML/源码并由正常 PR 自动交付；
   - 临时 patch 随后撤销或由声明式交付覆盖。
+- HWLAB production release delivery authority：
+  - development 与 production 复用同一个
+    `mirrors/pikasTech-HWLAB` Gitea 物理仓库；
+  - owning YAML 必须分别声明 `hwlab-nc01-v03` 与
+    `hwlab-nc01-production` source identity；
+  - production identity 固定选择 `release`、独立 immutable snapshot prefix
+    与 `release-gitops`；
+  - production PaC consumer 必须精确引用 production repository identity；
+  - delivery authority parser 必须精确匹配 target、owner/name 与 branch，
+    缺少 production identity 时 fail-closed，禁止回退到 `v0.3`。
 - 进入任何 HWLAB 工作前，按 `NC01/v03` 解析 route/workspace/sourceBranch/kubeRoute/runtime namespace 做预检、快进和验证：工作面是 `NC01:/root/hwlab-v03`、source branch 是 `v0.3`、k3s route 是 `NC01:k3s`、runtime namespace 是 `hwlab-v03`、公网入口由 YAML 的 NC01 target 声明。
 - NC01 的 node-local registry 是 k3s workload/PVC，不是 host Docker registry。`hwlab nodes control-plane infra status --node NC01 --lane v03` 应显示 registry workload ready、PVC bound 和 endpoint ready；必须通过受控 `runtime-image preload` 和 `infra tools-image build/status` 补齐 BuildKit、runtime/base 和 tools image，再把 HWLAB/AgentRun status 与 web-probe smoke 作为可用性证据。
 - HWLAB 项目内长期规则入口仍以目标 repo 的 `AGENTS.md` 为准。进入已解析的目标 workspace 后，必须重新读取该 workspace 的规则文件；不能只凭主 server 的压缩上下文继续操作。