fix: guard code agent provider env readiness

docs/reference/code-agent-chat-readiness.md

@@ -20,12 +20,19 @@ Secret 或 token。
 
 当前 DEV 部署合同中 `hwlab-cloud-api` 的 Code Agent provider 使用 OpenAI
 provider，运行时通过 `OPENAI_API_KEY` 读取 provider 凭证。该环境变量应由授权路径把
-`hwlab-code-agent-provider/openai-api-key` 注入到 DEV runtime。
+`hwlab-code-agent-provider/openai-api-key` 注入到 DEV runtime。DEV Pod 的 OpenAI
+Responses 请求必须使用 `HWLAB_CODE_AGENT_OPENAI_BASE_URL` 指向受控 DEV egress/proxy
+路径 `http://172.26.26.227:17680/v1/responses`，不能直接指向 public
+`api.openai.com`。
 
 Runner 不得尝试修补、读取、回显或替换该 Secret。若 DEV runtime 缺少该授权凭证注入，
 `provider_unavailable` 且 `error.missingEnv` 包含 `OPENAI_API_KEY` 必须判为
 `BLOCKED/credential`。
 
+部署前和部署后的自动化只允许证明 env 名称、`secretKeyRef` 的 Secret 名和 key 名、以及
+DEV egress/base-url 合同是否声明和保留；不得读取 Secret data，也不得把 Secret 值写入
+report、issue、PR 或截图。
+
 ## 判定标准
 
 | 观测结果 | readiness |