docs(cicd): 固化计划与执行一致性门禁

.agents/skills/unidesk-cicd/SKILL.md

@@ -75,6 +75,9 @@ bun scripts/cli.ts hwlab nodes control-plane legacy-cicd --help
   - 计划范围扩大时先修复 source range、源码、YAML 或项目 planner，再重新 plan；
   - `package.json` 即使同时出现在 runtime deps 与 component paths，也只按运行字段做一次语义判定；scripts-only 变化不得进入服务 changed paths；
   - planner hash 算法变化时，从 catalog source commit 按新算法重算；source tree 未变的 metadata drift 不得触发 build 或 rollout；
+  - CLI `release plan` 与 Pipeline 内部 planner 必须使用相同的 source/base、catalog authority、registry probe 和 cache 可用性输入；不得让 CLI 省略 `--verify-reuse-registry` 等会改变 build/rollout 结论的判定；
+  - webhook admission 后 Pipeline 必须校验已审阅 plan identity；内部重算的 build/rollout/affected 任一范围扩大时，在进入 build 前失败并要求重新 plan，禁止静默执行扩大后的计划；
+  - 真实 TaskRun results 与 CLI plan 不一致时，按控制面合同漂移报告阶段耗时和差异后停止；禁止补跑、提高 timeout 或把实际构建解释成 env reuse；
   - `build=0`、`rollout=0`、`affected=0` 是 no-op 终态，不发送 webhook，不创建 PipelineRun，动态 `next` 不得指向 trigger；
   - renderer rollout 范围必须对应实际 GitOps Pod template diff：
     - renderer 重建完整 runtime tree 并改写未选 workload 的 source identity 时，plan 必须把全部实际受影响 workload 计入 rollout；