fix: 在 Pod CI 初始化 Docker 并保留 fixture 诊断

docs/database/README.md

@@ -53,7 +53,8 @@ controller 接入、Secret watch、finalizer、registry 与真实权限检查仍
 运行 `make test-database-integration` 验证真实 API server + 一次性 PostgreSQL；fixture 不接受外部
 DSN，镜像固定摘要，使用随机本机回环端口并在退出时删除测试容器。覆盖缺失/错误凭据、RBAC、
 namespace 边界、有效值轮换、metadata 无关变化、中途轮换、重建/重试、并发读取、Forget/Close
-与 TLS DNS/IP SAN、错误 CA/主机名和禁止明文降级。CI 使用 VM runner 执行，普通 lint 之外还检查
+与 TLS DNS/IP SAN、错误 CA/主机名和禁止明文降级。CI 使用 Pod runner 执行，workflow 显式启动
+本 job 独占的 Docker daemon，随 Pod 销毁；不依赖 VM 或共享宿主 Docker。普通 lint 之外还检查
 integration 标签代码。领域单测、真实 API 行为与真实 PostgreSQL 行为分别验收，不以本切片
 替代整个 Instance controller 的集成验收。
 

docs/database/development.md

@@ -21,7 +21,11 @@ TLS 测试在临时目录生成一次性证书与私钥，不使用生产 CA。
 
 当前覆盖固定 namespace 的 Secret 读取与 RBAC、缺失/无效凭据恢复、有效凭据变化后的重连、
 无关字段更新不重连、中途轮换时丢弃观察、会话重建、并发读取、本地连接释放和 TLS 验证。
-默认 Pod runner 跑快速测试与 lint，VM runner 跑带 Docker 的 Database 集成测试。
+快速测试、lint 和 Database 集成测试均使用 Pod runner。集成 job 按 dynamic runner 的
+`pod-smoke.yml` 显式启动 Pod 内独占的 Docker daemon（overlay2），预检成功后再运行测试，
+不依赖 VM、共享宿主 Docker 或生产数据库。daemon 与数据随 job Pod 销毁。
+daemon 启动失败会打印启动日志；fixture 启动失败会保留退出错误与 stderr，并遮蔽测试密码，
+以区分缺少命令、daemon 不可达、权限和镜像拉取失败。
 
 这些测试尚不包含 Instance CRD/controller、Secret watch、status/finalizer 事件链、registry、
 权限探测矩阵、ESO 或 Tenant 供应。版本查询成功不意味着 Instance Ready。