Merge remote-tracking branch 'origin/master' into feat/2010-hwlab-release-production-lane

docs/MDTODO/mdtodo-tooling-reliability.md

@@ -22,3 +22,11 @@
 ## R2 [completed]
 
 解决 UniDesk #1913（https://github.com/pikasTech/unidesk/issues/1913）：复用 agent_skills #7 与 PR #8 的 MDTODO 安全 stdin 实现，让主代理、Artificer resource bundle 和受控 host skill 投影默认使用安全标题输入，并有界披露 source/target freshness、warning 与精确修复入口；不得复制第二套 MDTODO 工具、增加版本门禁或覆盖宿主并行脏改，由 Artificer 在独立 worktree 和分支实现、测试并提交 PR，不自行合并，完成任务后将详细报告写入[任务报告](./details/mdtodo-tooling-reliability/R2_Task_Report.md)。
+
+## R3 [in_progress]
+
+解决 [UniDesk #2170](https://github.com/pikasTech/unidesk/issues/2170)：为 unidesk-ymalops 增加配置引用问题的 skill + owning YAML 快速收敛与停止条件，证明同类问题减少不必要工具调用，完成任务后将详细报告写入[任务报告](./details/mdtodo-tooling-reliability/R3_Task_Report.md)。
+
+## R4 [in_progress]
+
+解决 [agent_skills #15](https://github.com/pikasTech/agent_skills/issues/15)：为 Playwright wrapper 增加不泄露凭据的 fill-file 表单填充，并证明 Secret 不进入 argv、输出或 JSONL 日志，完成任务后将详细报告写入[任务报告](./details/mdtodo-tooling-reliability/R4_Task_Report.md)。

docs/reference/pikaoa.md

@@ -17,7 +17,8 @@
   - runtime namespace：`pikaoa`；
   - CI namespace：`pikaoa-ci`；
   - Argo Application：`pikaoa-nc01`；
-  - 公网入口：`https://oa.pikapython.com`。
+  - 公网入口：`https://oa.hwpod.com`。
+- 测试公网入口固定使用 `https://oa-dev.hwpod.com`。
 - 生产交付与公网配置分别以以下 selector 为真相：
   - `config/pikaoa.yaml#releaseRuntime.targets.NC01`；
   - `config/pikaoa.yaml#delivery.targets.NC01`。
@@ -139,6 +140,23 @@
   - Argo Application `pikaoa-nc01` 自动同步 `pikaoa` namespace；
   - 禁止人工补建 PipelineRun 代替 source merge。
 - 生产使用 PK01 host PostgreSQL 独立 `pikaoa` database/role，不使用 namespace-local PostgreSQL。
+- 公网边缘由 `config/pikaoa.yaml#publicEdge` 唯一声明：
+  - `oa.hwpod.com` 反向代理生产 NodePort；
+  - `oa-dev.hwpod.com` 反向代理测试 NodePort；
+  - NC01 Caddy 使用标准 TCP 80/443；
+  - Hysteria 继续使用 UDP 443，不受 TCP listener 变更影响；
+  - Xray Reality 使用 YAML 声明的独立 TCP 端口，不再占用 TCP 443；
+  - 旧 `oa.pikapython.com` PK01 Caddy 托管块必须退役。
+- 公网边缘受控入口是：
+
+  ```bash
+  bun scripts/cli.ts pikaoa public-edge plan
+  bun scripts/cli.ts pikaoa public-edge apply --confirm
+  bun scripts/cli.ts pikaoa public-edge status
+  ```
+
+- `public-edge apply` 只按 managed marker 删除 PikaOA 旧边缘块；不得覆盖 PK01 其他 Caddy 站点。
+- 旧 FRPC 残留只产生 `blocking=false` warning，不阻塞新域名上线。
 - 生产初始化模式是 `fresh-database-only`，不实现旧数据迁移、兼容或回滚。
 - 版本、审计和配置一致性异常只产生 `blocking=false` warning，不作为 MVP 业务门禁。
 - PR、构建或单测不能替代固定 NodePort 原入口验收。
@@ -160,7 +178,8 @@
 - 再验证公网和共享可观测性：
 
   ```bash
-  curl -fsSI https://oa.pikapython.com/
+  curl -fsSI https://oa.hwpod.com/
+  curl -fsSI https://oa-dev.hwpod.com/
   bun scripts/cli.ts platform-infra observability metrics-query \
     --target NC01 \
     --query 'pikaoa_database_ready' \