feat(platform-infra): add d601 sub2api standby target

.agents/skills/unidesk-sub2api/SKILL.md

@@ -5,7 +5,7 @@ description: UniDesk Sub2API 平台运维技能。用户提到 Sub2API、sub2api
 
 # UniDesk Sub2API
 
-UniDesk 在 G14 k3s `platform-infra` namespace 运维 Sub2API。日常操作统一使用 UniDesk CLI，不直接写 Kubernetes 资源或手工调用 Sub2API 管理 API。
+UniDesk 在 k3s `platform-infra` namespace 运维 Sub2API。G14 是默认 active runtime；D601 只作为同一 YAML/CLI 控制下的 standby predeploy target，外置 DB 未就绪时应用和本地 Redis cache 都保持 replicas=0。日常操作统一使用 UniDesk CLI，不直接写 Kubernetes 资源或手工调用 Sub2API 管理 API。
 
 **固定入口**: `cd /root/unidesk && bun scripts/cli.ts platform-infra sub2api ...`
 
@@ -33,7 +33,8 @@ bun scripts/cli.ts platform-infra sub2api codex-pool trace --request-id <request
 - 配置真相是 YAML：`config/platform-infra/sub2api.yaml` 和 `config/platform-infra/sub2api-codex-pool.yaml`。
 - 业务策略和具体数值只以 YAML 为准。已有字段的数值调整只改 YAML 并跑 `plan` / `sync --confirm` / `validate`；不要自动补代码硬编码、schema 硬范围、合同测试、单元测试或长期参考文档。配置校验只校验格式、类型、必填和可渲染性，不判断数值策略是否“合理”。
 - 本 skill 目录下若存在 `agents/*.yaml`，只作为 skill/agent 展示与调用元数据，不是 Sub2API 或 Codex pool 运行配置；不要在 skill 目录维护第二份账号、capacity、priority、endpoint 或 Secret 配置。
-- Runtime 在 `G14:k3s` 的 `platform-infra` namespace；master server 只是控制端和消费者，不部署 Sub2API/PostgreSQL/Redis。
+- Runtime target 由 `config/platform-infra/sub2api.yaml` 声明；默认 `G14:k3s` 是 active target，`D601:k3s` 是 standby predeploy target。master server 只是控制端和消费者，不部署 Sub2API/PostgreSQL/Redis。
+- D601 standby 不部署本地 PostgreSQL，不运行第二套 sentinel 或 FRP 管理入口；外置 DB endpoint/Secret 未准备好时只能预部署 namespace、NetworkPolicy、Service，以及 replicas=0 的 Sub2API/Redis Deployment。Redis 激活后也只允许 ephemeral cache。
 - Secret、`~/.codex/config.toml*`、`~/.codex/auth.json*` 是运行时输入或本地状态，不提交。
 - 默认 `~/.codex/config.toml` 和 `~/.codex/auth.json` 只作为统一 Sub2API consumer 使用；`config.toml` 必须指向 `https://sub2api.74-48-78-17.nip.io/`，`auth.json` 必须使用统一 pool API key。新增上游账号不得覆盖这两个默认文件，只能新增 `config.toml.<profile>` / `auth.json.<profile>` 并在 YAML 里声明。
 - 输出只能包含 Secret 路径、长度、preview/fingerprint；禁止打印完整 API key、admin password、JWT secret、TOTP key。
@@ -42,16 +43,21 @@ bun scripts/cli.ts platform-infra sub2api codex-pool trace --request-id <request
 
 ```bash
 bun scripts/cli.ts platform-infra sub2api plan
+bun scripts/cli.ts platform-infra sub2api plan --target D601
 bun scripts/cli.ts platform-infra sub2api apply --dry-run
+bun scripts/cli.ts platform-infra sub2api apply --target D601 --dry-run
 bun scripts/cli.ts platform-infra sub2api apply --confirm
+bun scripts/cli.ts platform-infra sub2api apply --target D601 --confirm
 bun scripts/cli.ts platform-infra sub2api status
+bun scripts/cli.ts platform-infra sub2api status --target D601
 bun scripts/cli.ts platform-infra sub2api validate
+bun scripts/cli.ts platform-infra sub2api validate --target D601
 ```
 
 - `plan` 读取 `config/platform-infra/sub2api.yaml`，渲染 `src/components/platform-infra/sub2api/sub2api.k8s.yaml`，检查 no Ingress/NodePort/LoadBalancer/hostPort/hostNetwork/resource limits，并要求 `NetworkPolicy/allow-all` 随 manifest 受控创建。
 - `apply --confirm` 默认创建异步 job；按返回的 `job status` 命令轮询，再跑 `status` 和 `validate`。
 - `status --full|--raw` 只在需要展开远端 stdout/stderr 或原始 JSON 时使用。
-- `validate` 是按需验收，不是连续可用性探针。
+- `validate` 是按需验收，不是连续可用性探针。对 D601 standby，`validate --target D601` 验证预部署形态，不要求外置 DB 当前可连接。
 
 ## 镜像升级