docs: 固化 HWPOD host PostgreSQL 边界

docs/reference/hwlab.md

@@ -121,6 +121,20 @@ HWLAB v0.2/v0.3 仓库内 `docs/reference/spec-*`，以及已收编的 `cloud-wo
   - 真实 Windows workspace、Keil build 和硬件操作必须通过 API host 上的 L1
     native API 路由到目标 HWPOD-NODE；
   - L0 workspace 和 bounded build 使用当前 host 的 disposable fixture 验证。
+- HWPOD runtime spec 的持久化边界：
+  - L0、L1 和 L2 development 共用 owning YAML 声明的 development host PostgreSQL；
+  - L3 production 使用 production owning YAML 声明的 host PostgreSQL；
+  - database、role、Secret `sourceRef`、schema 和 table 只能从 owning YAML 解析，
+    当前实现使用 `hwpod.runtime_specs`，禁止在代码或命令中复制连接信息；
+  - YAML-first 内置 spec 只在读取时与 runtime 记录合并，不写入 runtime table，
+    且 create、update、delete 均返回冻结错误；
+  - filesystem JSON registry 属于 `legacy-retire`，不得保留 fallback、双写、
+    启动导入、overlay 或第二 authority；
+  - PostgreSQL 配置或连接缺失时，L0-L3 必须 fail closed，禁止降级到内存或文件；
+  - L0/L1 spec CRUD 和操作对比统一使用
+    `bun scripts/cli.ts hwlab nodes native-development hwpod cli ... --node <node> --lane <lane>`；
+  - `--local` 表示 L0 native function，`--over-api` 表示 owning YAML 固定端口的
+    L1 native API，两者不得同时使用。
 - Windows HWPOD-NODE 的连接入口和制品入口属于不同合同：
   - WebSocket 注册入口来自节点 YAML 的桌面连接配置；
   - 更新元数据和 Python 制品下载入口来自同一节点 YAML graph 的 artifact 配置；