docs: 明确凭据路径与 Secret 命名

docs/deployment.md

@@ -34,14 +34,19 @@
 | OpenBao auth mount | 默认 `kubernetes` | Kubernetes auth mount 名称 |
 | OpenBao auth role | 必填 | controller ServiceAccount 对应 role |
 | OpenBao KV mount | 默认 `kv` | KV v2 mount；开发可显式用 `secret` |
-| OpenBao tenant base path | 必填 | controller 专属 mount-relative 前缀 |
+| `--openbao-tenant-base-path` | 默认 `postgresql-tenants` | controller 专属 mount-relative 前缀 |
 | ESO ClusterSecretStore name | 必填 | controller 创建的 ExternalSecret 固定引用 |
 | CA bundle path | 必填（TLS） | 只读 PEM trust bundle，不含私钥 |
 | reconcile timeout | 有安全默认 | 单轮外部操作的总期限 |
 
-Tenant 路径固定推导为 `<base-path>/<namespace>/<name>`。namespace/name 都已通过
+Tenant 路径固定推导为 `<base-path>/<namespace>/<metadata.name>`。namespace/name 都已通过
 Kubernetes 名称校验，因此不再允许 CR 提供任意路径。KV v2 API URL 使用 consumer
-address 拼为 `<address>/v1/<mount>/data/<base-path>/<namespace>/<name>`。
+address 拼为 `<address>/v1/<mount>/data/<base-path>/<namespace>/<metadata.name>`。
+
+base path 必须是合法 mount-relative path，不以 `/` 开头且不包含空段、`.`、`..`、
+`data`/`metadata` API 层。ExternalSecret 固定命名为
+`<instanceRef>-<metadata.name>-postgresql`；目标 Secret 可由 Tenant 指定，但名称必须
+满足 Kubernetes Secret 名称校验，不限制命名内容，默认与 ExternalSecret 同名。
 
 配置变化不得隐式迁移既有凭据。修改 KV mount/base path 或 consumer address 前必须
 停止 controller、评估现有 Tenant，并走明确迁移；实现应把 mount/base path 视为安装