docs: document runtime lane health secret refs

docs/reference/spec-lane-expansion.md

@@ -35,6 +35,12 @@ node scripts/hwlab-lane-expand.mjs configure --lane v03 --from v02 --write
 
 新增服务、调整组件边界、调整 env image 配方或变更 HWPOD alias，也只允许先改 lane 配置和 schema；planner、renderer、artifact helper 和受控发布 CLI 必须读取 `deploy.lanes.<lane>`，不得新增 `if lane === "v04"` 这类 per-lane 分支。
 
+## Health 与 SecretRef 派生
+
+runtime lane 的 `/health` 和 `/health/live` 输出必须按当前 lane/profile 展示 redacted SecretRef 摘要，不能回退到 DEV 常量。`vNN` lane 的 Cloud API DB SecretRef 统一派生为 `hwlab-cloud-api-vNN-db/database-url`，optional DB DNS alias 统一派生为 `hwlab-vNN-postgres.hwlab-vNN.svc.cluster.local:5432`。
+
+health payload 只允许显示 Secret 名、key、presence、env injection 和 redaction/safety 状态；不得读取、打印或记录 `HWLAB_CLOUD_DB_URL` 原值、密码、Postgres URL、provider token 或 kubeconfig。新增 lane 验收时，公网 API health 必须同时证明 `environment=<lane>`、revision 命中目标 source commit、`db.secretRefs[]` 使用 lane 独立 SecretRef、`db.safety.secretMaterialRead=false`，以及 runtime DB readiness 为 ready。
+
 ## GitOps 模块化与严格 TS
 
 `v0.3` 起，GitOps 扩容逻辑不得继续堆进单个 `scripts/gitops-render.mjs`。该文件只保留历史入口兼容、参数解析和高层编排；新增或抽出的 GitOps 逻辑必须进入 `scripts/src/` 下的领域模块，并优先使用 `.ts`。