docs: define management connection refresh on Secret changes

docs/domain-instance.md

@@ -138,7 +138,11 @@ registry 不兼容的具体 Condition 映射须在接口规格中确定，不能
 管理连接由应用层从 controller namespace 的 Secret 装配；管理员维护 ExternalSecret，
 ESO 负责同步。Instance 路径不直接访问 Bao，也不以 Bao／ESO 当前可用性作为就绪条件。
 首次装配缺少有效 Secret 时失败；已有凭据可正常访问 PG 时继续按 PG 能力判定。
-Secret 更新后的连接刷新协议仍需细化，不在领域对象中实现监听或密码轮换。
+检测到所引用 Secret 的有效用户名或密码变化时，应用／基础设施层使用新值重建连接池
+并重新采集管理能力观察；metadata 或无关字段变化不重建。不要求 Instance generation
+变化，也不能复用旧连接的成功观察来证明新凭据有效。Secret 变化监听、连接释放和
+刷新均不进入领域对象；应用层保证旧连接观察不混入刷新后的调用链。
+controller 不修改 PostgreSQL 密码、不回写 Secret 或 Bao 管理凭据。
 
 ## 5. 状态转换与初始化走查
 
@@ -192,7 +196,7 @@ Ready --registry 需修复/保存--> InitializingRegistry
 ## 7. 本轮待评审与后续阻塞项
 
 本轮请先确认字段归属、应用层采集事实／Instance 纯决策的分工、方法与状态转换合同。
-管理 Secret 来源和 Bao 故障不单独撤销 Instance Ready 已确认；Secret 更新后的连接
-刷新协议仍需细化。其他决策及未决项见总体草案，不增加后台清扫器或状态字段。
+管理 Secret 来源、Bao 故障不单独撤销 Instance Ready，以及管理用户名／密码变化时
+重建连接池已确认。其他决策及未决项见总体草案，不增加后台清扫器或状态字段。
 
 批准本对象结构不等于批准这些未决行为，也不意味着立刻实现完整供应链路。