feat: remove static provider profile gating

docs/reference/spec-v02-provider-management.md

@@ -34,7 +34,8 @@ view: provider API Key 管理
 
 页面目标是直接可用的运维界面，不是 landing page。首版至少包含：
 
-- provider profile 列表：`deepseek`、`codex-api`、`minimax-m3`。
+- provider profile 列表来自 `GET /v1/admin/provider-profiles` 的实时返回，不是前端固定枚举；内建友好名至少覆盖 `deepseek`、`dsflash-go`、`codex-api`、`minimax-m3`，其余动态 slug 直接回显并可立即使用。
+- 新增 provider profile slug 属于 AgentRun provider 配置数据变更；当 AgentRun runtime 已支持动态 slug 时，管理员只通过管理页或 `hwlab-cli client provider-profiles set-config/set-key/validate` 即可创建、配置和验证新 slug，HWLAB 不再为每个新 slug 增加 cloud-api/web 静态枚举，也不为此触发专门服务代码改动或单独 CI/CD。
 - 每个 profile 的配置状态：`configured`、SecretRef、key hash 后缀、resourceVersion、最近更新时间、最近验证结果。
 - API Key 写入表单：保存后立即清空输入框，不回显旧值。
 - DeepSeek 链路摘要：必须显示 `HWLAB Moon Bridge -> DeepSeek 官方 upstream`，并明确不是 hyue 通道。
@@ -47,12 +48,16 @@ view: provider API Key 管理
 面向前端的同源 API 固定归属 HWLAB：
 
 ```http
+GET  /v1/provider-profiles
 GET  /v1/admin/provider-profiles
 PUT  /v1/admin/provider-profiles/:profile/credential
 POST /v1/admin/provider-profiles/:profile/validate
 GET  /v1/admin/provider-profiles/:profile/validations/:validationId
 ```
 
+- `/v1/provider-profiles` 是已认证用户可读的公开 catalog，只返回工作台下拉选择所需的 `profile/configured/backendKind/bridge` 等非敏感字段，用于工作台和设置页展示动态 slug。
+- `/v1/admin/provider-profiles*` 继续是管理员管理入口，负责查看 SecretRef/resourceVersion/hash 后缀、写 key/config 和触发 validate。
+
 所有接口必须先通过 [spec-v02-auth.md](spec-v02-auth.md) 恢复 `AuthPrincipal`，再按 [spec-user-access.md](spec-user-access.md) 和 [spec-v02-openfga-authorization.md](spec-v02-openfga-authorization.md) 判定是否允许访问管理能力。首版允许只对 `admin` 开放；如果后续引入 `provider_manager` 或等价 relation，必须先写入用户权限规格。
 
 响应必须是 JSON，且不得包含完整 API Key、Kubernetes Secret data、base64 Secret data、Codex `auth.json` 明文或 `config.toml` 明文。允许返回的字段包括：