Add Beryl Agent and harness source

2026-09-08 20:10:03 +08:00
parent 06d72d001c
commit 47cfbcd66a
70 changed files with 12558 additions and 0 deletions
@@ -0,0 +1,3 @@
+# 安全边界
+
+凭证仅存在 Session 内存，不进 URL、响应、SSE、日志、Web Storage 或 Pi 全局配置。Base URL 拒绝 userinfo、fragment、凭证 query、危险协议、metadata、loopback/private/link-local DNS 结果（显式开发/内网开关除外）。Workspace 解析并验证 canonical root、拒绝穿越和 symlink，报告固定为 `report.md`。图片验证扩展语义、MIME、magic bytes、尺寸、字节与像素，再重编码。审批是执行前授权，不替代路径安全。Pi 无 OS Sandbox；生产必须另加容器或 VM 隔离。