docs: 禁止未授权的 PK01 变更

.agents/skills/unidesk-nginx/SKILL.md

@@ -47,6 +47,9 @@ bun scripts/cli.ts platform-infra nginx status --target PK01
 
 ## 不可越过的边界
 
+- PK01 Nginx 默认只允许只读诊断：
+  - 只有用户在当前请求中明确要求修改 PK01，才允许变更版本、owning YAML、Compose、容器、systemd、路由、端口、Secret 绑定或运行状态；
+  - 泛化的修复、恢复、部署和排障请求不构成 PK01 变更授权。
 - 通用镜像只在 NC01 构建；Master server 和 PK01 不执行镜像构建。
 - PK01 正式部署只走 `platform-infra nginx apply`，不使用 Demo Compose 代替。
 - target、监听端口、上游、资源、日志上限和 API key 来源只写 owning YAML。