安全边界

凭证仅存在 Session 内存，不进 URL、响应、SSE、日志、Web Storage 或 Pi 全局配置。Base URL 拒绝 userinfo、fragment、凭证 query、危险协议、metadata、loopback/private/link-local DNS 结果（显式开发/内网开关除外）。Workspace 解析并验证 canonical root、拒绝穿越和 symlink，报告固定为 report.md。图片验证扩展语义、MIME、magic bytes、尺寸、字节与像素，再重编码。审批是执行前授权，不替代路径安全。Pi 无 OS Sandbox；生产必须另加容器或 VM 隔离。