보안 강화 - #2

- 규칙 id 를 영숫자와 . _ - : 로 제한해 커널 프로파일 주석 탈출을 막음
- 정책 파일을 O_NOFOLLOW 로 열고 열린 fd 로 소유자와 권한을 확인
- HOME 이 비었거나 상대 경로면 로드 실패로 다룸
- firmlink 로 이름이 갈리는 경로에 양쪽 표기를 모두 규칙에 넣음
- NFC 뒤 대문자 접기로 U+017F 같은 케이스 별칭을 잡음
- 대상 없는 심볼릭 링크를 따라가고 NUL 뒤를 잘라 커널과 같은 것을 보게 함
- inet_aton 표기를 정규화하고 deny host="*" 가 정규화 불가 값도 잡게 함
- 글로브 매칭을 메모이제이션해 백트래킹 폭발을 없앰

- 규칙 id 를 프로파일에 넣을 때 제어 문자를 지워 로더 검증을 이중으로 막음
- /dev/tty 를 자식 허용 목록에서 빼 승인 화면 위조와 답 가로채기를 막음
- 자식 환경에서 LD_ DYLD_ BASH_ENV 같은 코드 주입 통로를 걷어냄
- Landlock 이 mode 를 따르게 하고 exec 미강제를 gap 으로 선언
- ABI v6 이상에서 scope 로 시그널과 추상 유닉스 소켓을 격리
- 클립보드 mach 서비스를 막고 포트 없는 egress allow 의 gap 문구를 고침
- 감사 상위 디렉토리를 0700 으로 만들고 head tmp 를 create_new 로 열음

- 커널 강제 백엔드가 없으면 실행을 중단하고 --observe 를 명시하게 함
- 정책 감사 루트 작업 공간 경로를 절대화해 자기보호가 실제 파일을 가리키게 함
- 자기보호를 읽은 파일 하나에서 탐색 후보 전체로 넓혀 정책 심기를 막음
- audit show 가 렌더링 전에 체인을 검증하고 실패 시 종료 코드 2 를 냄
- 감사와 정책 출력의 신뢰할 수 없는 값을 정제하고 시각을 ts 에서 다시 계산

- 앵커가 권한 가진 공격자의 절단을 막지 못한다는 점을 명시
- 승인 채널 분리가 /dev/tty 회수로 성립한다는 근거를 추가
- 규칙 id 문자 제약과 그 이유를 정책 DSL 문서에 넣음
- cargo-deny 게이트와 deny.toml 을 추가해 의존성 권고를 검사