docs: clarify workbench negative probe coverage

docs/reference/hwlab.md

@@ -88,6 +88,8 @@ Workbench 浏览器回归需求以 UniDesk OA [PJ2026-010401 Web工作台](../..
 
 通过 `hwlab nodes web-probe run|script` 在线上 public origin 发现的 Workbench 用户可见 bug，修复前必须先进入上述 fake-server Playwright 套件形成独立红灯，再改源码。issue 正文应明确写出对应 fake-server 复现要求、fixture 来源、目标 viewport 或用户路径、修复后需要运行的 `bun run e2e:workbench -- --project=chromium`，以及最终回到同一 node/lane public origin 的 `web-probe` 验收命令。线上 web-probe 是 P4 原入口验收，不替代本地可重复的 Workbench 回归用例。
 
+线上环境不易稳定触发或不应主动制造的负向分支，例如跨 project 详情读取、过期 session 权威、上游 5xx、auth rollout 瞬态和 list/window 缺项，应由 fake-server fixture 提供确定性复现和断言；live `web-probe` 关闭时证明同一 node/lane public origin 的部署版本、自然路径和健康状态即可，并在 closeout 中说明该负向分支的确定性覆盖来自 fake-server。不要为了证明 5xx、rollout 中间态或第三方瞬态而故意破坏线上服务。
+
 移动端、窄屏、session rail、按钮可见性和 selector readiness 类问题必须在 Playwright viewport 中表达可见性断言：目标入口应可见、可点击、具有非零 layout rect，并且与用户实际操作路径一致。不要把桌面 selector（例如 session rail 的某个固定 id）假定为所有 viewport 的稳定 readiness；若移动端存在等价折叠菜单或替代按钮，fake-server 用例和线上 `web-probe script` 都应验证该等价入口。
 
 fixture seed 优先来自目标 node/lane 的受控真实样本；采集脚本只能输出脱敏后的 workspace/conversation/session/turn/trace shape、stable pseudo ids、sourceRef/presence/fingerprint 和 `valuesPrinted=false`。不得提交或打印 `HWLAB_API_KEY`、cookie、Authorization header、DB DSN、provider token、真实用户身份或非公开 prompt。截图、Playwright trace 和 HTML report 是 issue/PR closeout 证据，默认保存在 `.state/workbench-e2e/` 或通过受控远程 artifact 回传；它们不替代 OA spec，也不替代真实 public runtime 的 `hwlab nodes web-probe` 登录/DOM/Trace smoke。