浅念
9732e1b684
fix(source): 中间段符号链接逃逸堵截（无条件 realpath）；注释口径修正
- validateInputPath 原先只在末段是符号链接时 realpath——中间目录段含 junction
（链接在白名单内、目标在外，Windows 免特权可构造）时词法前缀判定被绕过，
会读到白名单外内容（评审 PoC 复现）。改为 lstat 存在性探测后无条件
realpath(abs)，整条路径解析到物理位置再做白名单与类型判定；断链场景
realpath 抛 ENOENT 仍归入 INPUT_NOT_FOUND（语义不变）
- 回归测试：中间段 junction 逃逸用例（incoming/junc → pkg-outside/escape.xml，
断言 PATH_NOT_ALLOWED + 零落库）；已对修复前代码验证为红（逃逸被接受）、
修复后绿
- 注释口径修正：registerSource 的"任何失败零落库零复制"只在校验阶段成立——
摄取中途失败不回滚已落位副本（content-addressed、幂等无害），但 DB 写入
在全部摄取完成后才开始，任何失败零落库不变
- 计划勾选：Task 7 "CLI 执行机制（钉死）"（已实现并双命令冒烟验证）
全套 261 测试绿（+1）；typecheck / lint 绿
Co-Authored-By: Claude Code <noreply@anthropic.com>