feat: 接入 Database 三资源 API 与分层绑定协调

确定单库单账号、集群级 Database、资源侧先写绑定和凭据定位合同。领域层承载纯规则，service 协調流程，Kubernetes adapter 负责资源呈现与版本保护。

验证：全量 make test、三轮 race、真实 API server 并发与重启补写、最小 RBAC/watch、lint 和文档检查通过。供应、凭据交付及删除清理尚未实现，保留 DeletionPending/finalizer 边界。

docs/database/migration.md

@@ -7,7 +7,8 @@
 | 最后更新 | 2026-09-24 |
 
 当前设计支持管理员显式登记已有 Database；未知同名资源仍不得自动认领。
-导入不要求移动数据，不隐含改密码、owner、授权或删除权限。API 尚未实现，以下导入步骤
+导入不要求移动数据，不隐含改密码、owner、授权或删除权限。API schema 与绑定协调已实现，
+但导入观察和凭据交付尚未实现，以下导入步骤
 是验收要求而非可直接执行的命令。
 
 ## 显式导入与保留资源复用
@@ -15,7 +16,7 @@
 1. 核对 Instance、数据库、owner、角色权限、扩展、使用者与备份，确定允许管理的范围。
 2. 由管理员声明 Database，指定已有目标，回收策略默认 Retain；导入验证初始只读。
 3. 安全关联现有应用凭据；具体 API 待定，不把密码写入 CR，不因验证失败重置密码。
-4. 管理员授权目标 Tenant；controller 验证资源与申请符合要求并建立排他绑定。
+4. Tenant 显式引用未绑定且可用的 Database；controller 验证要求并建立排他绑定，无额外名单审批。
 5. 验证实际登录与 ESO 交付；不满足时停止，不以修改原数据库作为默认修复。
 
 Released 资源复用前另需核实旧使用者的访问权限、数据交接与投射处置。保留旧绑定身份直到
@@ -135,7 +136,7 @@ extension 应由 Tenant spec 创建。若 dump 仍包含 extension 定义，预
 
 发布首个可用版本前，必须在临时 PostgreSQL/OpenBao/Kind 环境执行本文并记录：
 
-- 显式导入与 Released 重新绑定的授权、旧访问处置和失败不修改原资源；
+- 显式导入的管理权限、Released 重新开放前的旧访问处置和失败不修改原资源；
 - 使用的 PostgreSQL major version 和命令版本；
 - dump/restore 返回码和对象差异；
 - DNS/IP TLS 登录结果；