docs forbid running checks on master server

docs/reference/hwlab.md

@@ -28,6 +28,13 @@
 - 旧公网 `:6666` 和 `:6667` 不是浏览器验收入口；内部 k3s service 仍可使用 `6667` 作为服务端口。
 - `16666` 由 master 侧 `hwlab-frps-dev` 接收 D601 `hwlab-frpc` 的反向代理流量；不要把 master 上的其他 UniDesk frontend/backend-core 路径误判为 HWLAB 前端。
 
+## Master Server 校验边界
+
+- master server 是 UniDesk/HWLAB 的生产入口且资源紧张；它只能承担轻量源码编辑、Git 操作、日志/健康观察、JSON CLI 指挥和受控 CD 审阅，不能承担正式校验执行面。
+- 禁止在 master server 上运行 HWLAB 或 UniDesk 的仓库级 `check`/`test`/smoke 命令，包括但不限于 `bun scripts/cli.ts check`、`node --test`、`node web/hwlab-cloud-web/scripts/check.mjs`、`node scripts/dev-cloud-workbench-smoke.mjs`、Playwright/browser layout smoke，以及其他会长时间占用 CPU/内存、启动浏览器或遍历大仓库的校验流程。
+- 需要正式验证时，固定切到 D601 原生 k3s 侧 worktree、HWLAB repo-owned CI 或其他获批外部执行面；master server 只负责发起、观察和记录，不负责实际跑 check。
+- 如果为了排障必须从 master server 生成命令或查看源码，后续验证命令也必须显式改到 D601 路径执行，例如 `/home/ubuntu/workspace/hwlab` 或临时 hotfix worktree，而不是直接在 `/root/unidesk` 或 master server 上本地运行。
+
 ## D601 k3s 口径
 
 HWLAB 的真实 DEV runtime 在 D601 原生 k3s 中，必须显式使用：