docs: align provider management spec status

docs/reference/spec-v02-hwlab-cloud-api.md

@@ -110,7 +110,7 @@ OpenFGA、Access API、工具能力和 shadow/enforce 策略的最终规格见 [
 | Postgres durable runtime | 已实现 | 通过 v02 独立 DB SecretRef 和 migration ledger 判定。 |
 | gateway outbound poll/result | 已实现 | 支持 gateway 主动轮询和 `hardware.invoke.shell` 分发。 |
 | HWPOD node-ops 转发 | 已实现 | `POST /v1/hwpod-node-ops` 接收 `hwpod-compiler-cli` 生成的 plan，经 cloud-api 转发到 `hwpod-node`；无在线 node 时返回结构化 blocker。 |
-| Provider API Key 管理委托 | 目标状态 | 需要实现 `/v1/admin/provider-profiles*`，由 HWLAB 鉴权后委托 AgentRun 后端管理 profile Secret/配置和 canary。 |
+| Provider API Key 管理委托 | 已实现 | `/v1/admin/provider-profiles*` 由 HWLAB 鉴权后委托 AgentRun 后端管理 profile Secret/配置和 canary；HWLAB 不直写 AgentRun Secret。 |
 | v0.2 登录鉴权与 admin/user 权限模型 | 部分实现 | 当前 `/auth/*` 是本地账号密码 bootstrap fallback 和 Web session；Keycloak OIDC、24 小时 Web session、CLI API key 和 `AuthPrincipal` 归一仍需按 spec-v02-auth 收敛。admin user/tool capability API 和 Code Agent owner binding 已接入；生产 bootstrap 依赖 SecretRef。 |
 | OpenFGA 细粒度授权与 Admin Access API | 目标状态 | 需要实现 OpenFGA client/bootstrap、`enforce`、`/v1/admin/access*`、tool capability check 和 runner env 过滤。 |
 | 账号共享 workspace authority | 已实现 | `account_workspaces` 持久化同账号 Web/CLI 共享 workspace，支持 revision 冲突可见性、账号隔离、最近 active trace 记录和 reset；同一用户不同 session/run 允许并发，互斥只在 session/thread/run 层处理。 |

docs/reference/spec-v02-hwlab-cloud-web.md

@@ -236,6 +236,6 @@ runner pod 或 runner Job 丢失但 PVC 仍存在时，下一轮必须继续使
 | 账号 workspace hydrate/sync | 已实现 | 启动读取 `account_workspaces`，Code Agent 请求携带 workspace revision，终态再同步 workspace。 |
 | HWPOD node-ops 面板 | 已实现 | 当前消费 `/v1/hwpod-node-ops` 的只读健康 plan，展示 node/action/result/blocker 摘要。 |
 | Admin Access 授权页面 | 目标状态 | 新增 admin-only ActivityRail 页面，管理 OpenFGA relation/tool capability/role status，并与 CLI `client access` 共用同一路径。 |
-| Provider API Key 管理页面 | 目标状态 | 新增 admin-only 管理页面，走 `/v1/admin/provider-profiles*` 同源 API 并委托 AgentRun。 |
+| Provider API Key 管理页面 | 已实现 | `#/management` admin-only 管理页面走 `/v1/admin/provider-profiles*` 同源 API 并委托 AgentRun；CLI 同路径入口用于非视觉验收。 |
 | 完整多用户 admin/user UI | 未完全实现 | 登录态存在；Keycloak/Web session/API key 需按 spec-v02-auth 收敛，权限 authority 仍需按 spec-user-access 收敛到 cloud-api。 |
 

docs/reference/spec-v02-provider-management.md

@@ -154,8 +154,9 @@ AgentRun event/trace 只允许显示 provider profile、SecretRef 摘要、valid
 
 | 能力 | 状态 | 说明 |
 | --- | --- | --- |
-| HWLAB 管理页规格 | 已定义 | 本文为 `v0.2` provider API Key 管理的 HWLAB 权威规格。 |
-| Cloud API 委托接口 | 目标状态 | 需要实现 `/v1/admin/provider-profiles*` 并委托 AgentRun。 |
-| AgentRun provider profile 管理 API | 外部依赖 | 由 AgentRun `v0.1` 规格和 [pikasTech/agentrun#28](https://github.com/pikasTech/agentrun/issues/28) 实现。 |
-| CLI 同路径入口 | 目标状态 | 需要补齐 `client provider-profiles ...`。 |
-| DeepSeek canary | 目标状态 | 保存后必须验证官方 DeepSeek/Moon Bridge 链路。 |
+| HWLAB 管理页规格 | 已定义/已接入 | 本文为 `v0.2` provider API Key 管理的 HWLAB 权威规格；Cloud Web 已提供 `#/management` 管理页。 |
+| Cloud API 委托接口 | 已实现 | `/v1/admin/provider-profiles*` 由 HWLAB Cloud API 鉴权授权后委托 AgentRun `/api/v1/provider-profiles*`，HWLAB 不直写 AgentRun Secret。 |
+| AgentRun provider profile 管理 API | 已对接 | 依赖 AgentRun `v0.1` `agentrun-mgr` provider profile 管理 API；后端长期规格和后续硬化项见 [pikasTech/agentrun#28](https://github.com/pikasTech/agentrun/issues/28)。 |
+| CLI 同路径入口 | 已实现 | `client provider-profiles list/set-key/validate/validation` 走 HWLAB Cloud Web 同源 API，用作管理页的非视觉同路径验收入口。 |
+| DeepSeek canary | 已验证 | DeepSeek profile 经 `hwlab-deepseek-proxy.hwlab-v02.svc.cluster.local:4000/v1` 到 `/v1/responses`，验收必须继续证明不访问 `hyueapi.com`。 |
+| Secret 脱敏 | 已实现/持续约束 | Web、Cloud API、CLI 和 issue 证据不得回显完整 API Key；AgentRun Secret 写入的 `last-applied-configuration` 硬化由 AgentRun 侧继续跟踪。 |