Merge remote-tracking branch 'origin/master' into feat/2010-hwlab-release-production-lane

docs/reference/pikaoa.md

@@ -17,7 +17,8 @@
   - runtime namespace：`pikaoa`；
   - CI namespace：`pikaoa-ci`；
   - Argo Application：`pikaoa-nc01`；
-  - 公网入口：`https://oa.pikapython.com`。
+  - 公网入口：`https://oa.hwpod.com`。
+- 测试公网入口固定使用 `https://oa-dev.hwpod.com`。
 - 生产交付与公网配置分别以以下 selector 为真相：
   - `config/pikaoa.yaml#releaseRuntime.targets.NC01`；
   - `config/pikaoa.yaml#delivery.targets.NC01`。
@@ -139,6 +140,23 @@
   - Argo Application `pikaoa-nc01` 自动同步 `pikaoa` namespace；
   - 禁止人工补建 PipelineRun 代替 source merge。
 - 生产使用 PK01 host PostgreSQL 独立 `pikaoa` database/role，不使用 namespace-local PostgreSQL。
+- 公网边缘由 `config/pikaoa.yaml#publicEdge` 唯一声明：
+  - `oa.hwpod.com` 反向代理生产 NodePort；
+  - `oa-dev.hwpod.com` 反向代理测试 NodePort；
+  - NC01 Caddy 使用标准 TCP 80/443；
+  - Hysteria 继续使用 UDP 443，不受 TCP listener 变更影响；
+  - Xray Reality 使用 YAML 声明的独立 TCP 端口，不再占用 TCP 443；
+  - 旧 `oa.pikapython.com` PK01 Caddy 托管块必须退役。
+- 公网边缘受控入口是：
+
+  ```bash
+  bun scripts/cli.ts pikaoa public-edge plan
+  bun scripts/cli.ts pikaoa public-edge apply --confirm
+  bun scripts/cli.ts pikaoa public-edge status
+  ```
+
+- `public-edge apply` 只按 managed marker 删除 PikaOA 旧边缘块；不得覆盖 PK01 其他 Caddy 站点。
+- 旧 FRPC 残留只产生 `blocking=false` warning，不阻塞新域名上线。
 - 生产初始化模式是 `fresh-database-only`，不实现旧数据迁移、兼容或回滚。
 - 版本、审计和配置一致性异常只产生 `blocking=false` warning，不作为 MVP 业务门禁。
 - PR、构建或单测不能替代固定 NodePort 原入口验收。
@@ -160,7 +178,8 @@
 - 再验证公网和共享可观测性：
 
   ```bash
-  curl -fsSI https://oa.pikapython.com/
+  curl -fsSI https://oa.hwpod.com/
+  curl -fsSI https://oa-dev.hwpod.com/
   bun scripts/cli.ts platform-infra observability metrics-query \
     --target NC01 \
     --query 'pikaoa_database_ready' \