docs: rename v0.2 user access spec

docs/reference/architecture.md

@@ -41,10 +41,10 @@ For M3 hardware proof, the required runtime participants are:
 能力；正式 profile authority、REST/job 和服务部署规格见
 [spec-device-pod.md](spec-device-pod.md)。
 
-`v0.2` 多用户访问模型只保留 `admin` 和 `user` 两类角色：code agent
+`v0.2` 用户和权限管理规格只保留 `admin` 和 `user` 两类角色：code agent
 session 归属于创建用户，device pod 由 `admin` 管理并按用户授权，授权即全权限；
 Kubernetes 只做运行时隔离和资源兜底，不承载最终用户权限。权威口径见
-[multi-user-access.md](multi-user-access.md)。
+[spec-user-access.md](spec-user-access.md)。
 
 ## M3 Trusted Loop
 

docs/reference/spec-user-access.md

@@ -1,8 +1,10 @@
-# v0.2 多用户访问模型
+# v0.2 用户和权限管理规格
 
-本文是 HWLAB `v0.2` 多用户系统的长期参考口径。目标是用最少概念支持真实用户使用 code agent session 和管理员分配 device pod 权限，同时避免把用户体系、Kubernetes 租户、设备授权、硬件证据链和审计系统混成一套复杂门禁。
+本文是 HWLAB `v0.2` 用户和权限管理的规格说明。目标是用最少概念支持真实用户使用 code agent session 和管理员分配 device pod 权限，同时避免把用户体系、Kubernetes 租户、设备授权、硬件证据链和审计系统混成一套复杂门禁。
 
-## 设计目标
+本规格与 [spec-device-pod.md](spec-device-pod.md) 配套：用户和权限规格定义谁可以看见、创建和使用 device pod；device-pod 规格定义 profile authority、REST/job 和硬件执行边界。
+
+## 规格目标
 
 - 只保留两类角色：`admin` 和 `user`。
 - `code agent session` 直接归属于创建它的用户；普通用户只能查看、继续和取消自己的 session。
@@ -13,9 +15,9 @@
 - 普通用户不获得 Kubernetes 用户、kubeconfig、namespace 管理权或直接访问 device pod Service 的权限；所有用户权限判断在 cloud-api 应用层完成。
 - v0.2 权限数据必须与 `hwlab-dev`/`hwlab-prod` 运行数据隔离。优先在 `hwlab-v02` namespace 内使用独立 Postgres StatefulSet/PVC；若未来显式复用共享 Postgres 实例，也必须使用独立 database 或 schema、独立 Secret 和独立 migration ledger，不得直接复用 `hwlab-dev` 的 pgdata。
 
-## 简化前后
+## 简化边界
 
-| 模块 | 复杂方案 | v0.2 MVP 方案 |
+| 模块 | 不采用的复杂方案 | v0.2 规格方案 |
 | --- | --- | --- |
 | 用户角色 | `platform_admin`、`device_admin`、`developer`、`viewer` | `admin`、`user` |
 | 用户组 | `groups`、`group_members` | 不引入 |