docs: 禁止未经授权扩展架构范围

docs/reference/devops-hygiene.md

@@ -166,6 +166,20 @@ CHANGELOG 的文档交叉引用必须同时满足以下要求：
 - <用户可感知的功能或问题修复>。文档同步：`<API 文档>` <编号> <接口或字段变化>；`<配置文档>` <编号> <默认值、范围或生效规则变化>；`<测试文档>` <编号> <验收场景或判定变化>。
 ```
 
+## 用户目标与范围控制
+
+实现范围只由用户明确目标及其在现有架构内不可缺少的直接前置组成。判断某项工作是否属于直接前置时，必须证明不完成该项就无法通过原始入口实现用户要求；仅能提高通用性、并发安全、可见性、兼容性或未来健壮性的工作属于衍生问题。
+
+- 未经用户明确要求，禁止新增或扩展：
+  - 通用服务合同或版本合同；
+  - 租约、选主或 fencing token；
+  - 新的安全机制、权限体系或凭据治理层；
+  - admission fence、activation fence、CAS 围栏或配套门禁。
+- 既有权限校验、Secret 脱敏、不可逆操作保护和损害预防规则必须继续遵守；范围控制不授权删除仍保护明确风险的既有安全底线。
+- 发现衍生问题时可以创建边界独立的 issue 或 MDTODO 记录，但在用户另行授权前不得实现、合并、部署，也不得把它加入原任务的验收条件或阻塞路径。
+- 现有 guard 或工具限制阻碍原始目标时，先验证它是否仍保护当前任务中的明确风险，并优先使用现有架构内的最小配置或受控操作完成目标；若只能通过架构扩展解决，必须先向用户说明必要性、影响范围和替代方案并取得明确授权。
+- 子代理不得自行扩大 issue、prompt 或 PR 范围。主代理负责在 review、preflight 和合并前删除非必要前置，并把获准之外的发现留在支线。
+
 ## Verification Priority
 
 The user's latest explicit objective takes precedence over stale tests, guards, preflights and assertions. When an old gate blocks the current requirement without protecting a still-valid high-value risk, remove it from the active path instead of preserving a fallback, legacy mode or compatibility branch around it.