update UI details for new stream

docs/security.md

@@ -14,6 +14,7 @@ token。以下规则是实现约束，而不是可选部署建议。
 - tenant 查询必须在事务中执行 `SET LOCAL app.user_id`，不能使用会泄漏到连接池的 session-level
   `SET`。
 - 实时广播按 `component_id` 建立独立 channel，不提供全局订阅。
+- 同一 kind 的多个实例仍逐行执行 owner 归属校验；实例 token 不能订阅同账户的另一个实例。
 - 路由器按事件的可信 `owner_id` 扇出，并在投影发布前再次验证 owner、账户 source 和 component ID。
 
 ## Secret 生命周期
@@ -25,7 +26,7 @@ token。以下规则是实现约束，而不是可选部署建议。
 | 登录 session         | HttpOnly Cookie     | SHA-256 摘要            | 到期、登出或撤销 |
 | CookieCloud Key/密码 | 用户提交时          | XChaCha20-Poly1305 密文 | 覆盖更新         |
 | 邀请码               | 创建时显示一次      | SHA-256 摘要和前缀      | 单次消费或撤销   |
-| OBS token            | 创建/轮换时显示一次 | SHA-256 摘要            | 组件级轮换       |
+| OBS token            | 创建/轮换时显示一次 | SHA-256 摘要            | 组件实例级轮换   |
 
 `security.data_encryption_key`
 是恢复密文所必需的主密钥。它必须独立备份，但不能提交到 Git 或写入镜像。