docs: define management connection refresh on Secret changes

docs/domain-model.md

@@ -136,7 +136,8 @@ phase 只决定候选步骤，外部证据决定该步骤是否允许执行、
 3. **管理凭据来源与 Ready（已确认）**：Instance 引用 controller namespace 内的
    管理 Secret 名称和字段；管理员维护 ExternalSecret，ESO 同步。controller 不直接
    从 Bao 读取管理凭据。已有凭据仍可访问 PG 时，Bao／ESO 故障不撤销 Instance Ready；
-   首次装配无有效 Secret 则失败。Secret 更新后的连接刷新协议待细化，非自动 PG 轮换。
+   首次装配无有效 Secret 则失败。Secret 的有效用户名／密码变化时重建管理连接池并
+   重验，不因无关字段变化重建；controller 不修改 PG 密码，不回写 Secret 或 Bao。
 4. **绑定时机**：系统规格写“首次成功后不可变”，API 文档写“首次创建外部状态后
    不可变”。应明确绑定在认领、首次外部写入还是 Ready 时固定，及如何在 status 丢失
    后恢复；否则供应中途改名称可能产生无人管理的资源。