diff --git a/.agents/skills/unidesk-webdev/SKILL.md b/.agents/skills/unidesk-webdev/SKILL.md
index fa2d7774..89a03ac9 100644
--- a/.agents/skills/unidesk-webdev/SKILL.md
+++ b/.agents/skills/unidesk-webdev/SKILL.md
@@ -12,6 +12,7 @@ description: UniDesk Web 开发与浏览器验证技能。用户处理 UniDesk/H
 - 线上 Web bug、Workbench、Performance、前端状态投影、截图、fake-server 和 web-probe 任务必须先用本技能。
 - 涉及 Web 哨兵、`web-probe sentinel`、`monitor.pikapython.com`、定期/周期巡检或新建巡检时，必须同时加载 `$unidesk-monitor`。
 - 真实用户入口验证优先；源码检查、构建通过或截图局部正常不能替代原入口验收。
+- HWLAB Cloud Web/Workbench 的 closeout web-probe 必须打已经通过 CI/CD 部署的 node/lane 公网 origin，例如 NC01/v03 的 `https://hwlab.pikapython.com`；本地 fake-server、localhost、dist 静态服务和临时 `--url` 只能作为开发 preflight 证据，不能替代 PR 合并、部署后的公网 web-probe 验收。
 - 禁止在本地或 master server 直接跑 `vue-tsc` / 前端全量 typecheck 作为默认验证；本地只做语法级检查和真实入口复测，完整类型检查交给 CI、PipelineRun 或明确指定的受控构建运行面。
 - 桌面版 Web 截图、视觉复测和 web-probe 采样默认使用 `1920x1080` 视口；只有用户、issue 或 SPEC 明确指定其他尺寸时才覆盖，并在证据中写明覆盖原因。
 - Web probe 命令和历史判定口径见 [references/web-probe.md](references/web-probe.md)；Playwright/fake-server 复现见 [references/playwright.md](references/playwright.md)。
@@ -21,6 +22,7 @@ description: UniDesk Web 开发与浏览器验证技能。用户处理 UniDesk/H
 
 - 用户要求“离线调查”时，web-probe 只读取已有 observer/sentinel artifact、`observe collect` 和 `observe analyze` 报告；不得新开 `run/script/observe` 或触发新的 dashboard 验证。若 collect/analyze 难以定位 run、trace、sample、root-cause signal 或输出不可界定，先改进 analyzer/CLI 证据面，再继续业务结论。
 - 用户要求“用 web-probe 做 smoke”时，`web-probe` 是取证工具，smoke 目标以用户/issue 指定的业务入口为准；例如目标是 Workbench 时，必须用 `web-probe run` 或 `web-probe observe start` + `observe command --type sendPrompt` 验证 Workbench 页面、会话、消息终态和 `observe analyze` 结果，不能改成只验证 web-probe 工具自身。只有用户明确说“验证 web-probe 自身/基础设施”时，才把 screenshot/script/observe 作为工具自检 smoke。
+- HWLAB Web 改动的最终验收顺序是：先完成 PR/CI/CD/GitOps/Argo/runtime `/health` closeout，再对 YAML 选中的公网 origin 跑 web-probe；若公网 web-probe 发现缺路由、认证、代理、资源或 DOM 问题，应继续修复业务或运行面，不得回退到本地 fake-server 通过作为结论。
 - web-probe 发现 Workbench 请求风暴、浏览器卡死、内存上涨、submit/command 失败或投影缺失时，修复目标默认是 Workbench runtime/projection/read model 或业务代码；不得为了通过 smoke 去降低 Playwright/Chromium 能力、减少采样、自动刷新页面、关闭 freeze/memory 检测或把 blocker 降级。探针侧只能补证据、root cause 可见性和 YAML policy 接入。
 - 交互式线上验收优先使用 `web-probe observe start`、`observe command`、`observe collect` 和 `observe analyze`；`web-probe script` 只作为一次性探测逃生口。重复出现的高频动作（折叠侧栏、关闭报告、切换全屏、导出低码率截图、采集布局指标）必须沉淀为 observe command 或 analyzer 能力。
 - 截图取证必须优先配合页面的 RESTful 深链：截图命令应直接打开能恢复目标 source/file/task/report/session/run 和聚焦区域的 URL，再等待稳定 DOM 合约后截图。若目标页面缺少必要深链能力，不要先用脆弱点击/滚动流程硬截；应先增强前端深链与刷新恢复能力，再把截图能力接回 web-probe/observe/sentinel 命令。
diff --git a/docs/reference/hwlab.md b/docs/reference/hwlab.md
index 31c58e34..6ac6ff13 100644
--- a/docs/reference/hwlab.md
+++ b/docs/reference/hwlab.md
@@ -40,6 +40,7 @@ HWLAB v0.2/v0.3 仓库内 `docs/reference/spec-*`，以及已收编的 `cloud-wo
 
 - 当前入口必须从 `config/hwlab-node-lanes.yaml#lanes.v03.targets.NC01` 读取，不从长期文档硬编码推断。
 - NC01 `v0.3` 前端/API 入口固定为 `https://hwlab.pikapython.com`，只能按 `config/hwlab-node-lanes.yaml` 中的 `lanes.v03.targets.NC01.publicExposure` 验证；域名侧浏览器验收比裸 IP 或旧端口更能覆盖 Caddy、FRP、同源 cookie 和 Vue workbench 路由。
+- HWLAB Cloud Web/Workbench 的最终 web-probe 证据必须来自 PR 合并并经 CI/CD/GitOps/Argo 部署后的公网入口；本地 fake-server、localhost dist、临时 `--url` 和源码/API preflight 只能证明开发面，不得作为关闭用户入口 issue 或声明上线成功的替代证据。公网 web-probe 发现问题时继续修复 PR 或运行面，再重新部署复测。
 - 旧公网端口不是浏览器验收入口；内部 k3s service 仍可使用 `6667` 作为服务端口。
 - 不要把 master 上的其他 UniDesk frontend/backend-core 路径误判为 HWLAB 前端。