docs: require domain CI/CD fixes to close out

.agents/skills/unidesk-cicd/SKILL.md

@@ -197,6 +197,11 @@ bun scripts/cli.ts hwlab nodes control-plane legacy-cicd --help
 
 ## P0 边界
 
+- 当前业务问题域内的 CI/CD 故障必须直接闭环：
+  - 用户要求修复、发布或回归某个业务时，选中 consumer 自有的 owning YAML 配置片段、独立 namespace/lane、独立 source artifact、消费仓 `.tekton` 制品和该业务运行配置均属于主任务授权范围；
+  - 确认故障位于上述范围后，直接完成根因修复、正常 PR 自动交付和原业务入口回归，不得只登记 issue 后停工；
+  - 修复仍须保持最小影响面，并按 L0、L1、L2 的适用层级逐级回归；不得借域内授权修改共享控制面或其他 consumer；
+  - 只有致因落入下述公共服务面，或修复必须改变跨 consumer 共享对象时，才转为公共服务面授权判定。
 - 未经用户明确授权，不得修改 CI/CD 公共服务面：
   - 公共服务面包括共享 PaC controller/release、admission、Gitea webhook bridge、共享 git-mirror 服务与 PVC、共享 Tekton/Argo bootstrap、公共 edge/FRPC/Caddy 入口，以及被多个 consumer 复用的 renderer、模板和脚本；
   - 默认只允许修改当前选中 consumer 在 owning YAML 中的独立配置片段、独立 namespace/lane、独立 source artifact 和该 consumer 仓库内的 `.tekton` 制品；

docs/reference/devops-hygiene.md

@@ -232,6 +232,11 @@ CHANGELOG 的文档交叉引用必须同时满足以下要求：
 
 实现范围只由用户明确目标及其在现有架构内不可缺少的直接前置组成。判断某项工作是否属于直接前置时，必须证明不完成该项就无法通过原始入口实现用户要求；仅能提高通用性、并发安全、可见性、兼容性或未来健壮性的工作属于衍生问题。
 
+- 当前业务问题域内的 CI/CD 故障属于直接前置：
+  - 用户要求修复、发布或回归某个业务时，该业务选中 consumer 自有的 owning YAML 配置片段、独立 namespace/lane、独立 source artifact、消费仓 `.tekton` 制品和运行配置均在授权范围内；
+  - 确认致因位于该范围后，执行者必须直接修复，并通过正常 PR、自动 CI/CD/GitOps 和原业务入口完成闭环，不得只创建 issue 后停止；
+  - 共享 PaC、Gitea、git-mirror、Tekton/Argo bootstrap、公共 edge、共享 renderer/template、跨 consumer 的 Repository、Secret、RBAC、branch/ref 或网络入口不因业务修复目标自动获得写入授权；
+  - 域内修复必须保持 consumer 和 lane 边界，不得夹带公共服务重构、其他业务配置或第二交付路径。
 - 未经用户明确要求，禁止新增或扩展：
   - 通用服务合同或版本合同；
   - 租约、选主或 fencing token；