安全边界强制点：可验证边界 FROZEN v1 + 契约测试（Refs #19）

issue #19 要求「secret 仅 ref/不落明文；workspace/tool/MCP/tenant 沙箱强制；边界可验证 + 测试」。
本仓**已强制**的三类边界此前散落、缺统一验证；本 PR 把它们合为一套可验证测试并冻结文档。

测试：scripts/test-security-boundary.py（hermetic，19 断言）覆盖本仓强制边界：
- secret：billing_context.secret_ref 非 azkv:// 入口拒绝；明文 password/access_token 等字段
  在任意层级拒绝；非 azkv 的 *_ref 拒绝（validate_create_request / _reject_plaintext_secrets）。
- 脱敏：明文凭据 → [redacted]；azkv secret_ref 透传（HM 对客户端再脱敏）（_redact_sensitive）。
- workspace：绝对路径 / `..` 逃逸 / 空路径拒绝，合法相对路径落在 workspace 根内
  （task_executor._resolve_workspace_path）。
- 沙箱 fail-closed：未确认隔离时 assert_isolated 抛 SandboxIsolationError，确认后放行。

文档：docs/integration/security-boundary.md → FROZEN v1：§9 覆盖表标注「✅✔ 已实现+测试」
三类强制边界；其余按规则 #9 据实标 ⏸「本次不做」并给理由——tool/MCP 权限引擎（无工具层可治理）、
allowed_paths 按 grant 强制（待资源授权链）、Pod 强化沙箱（Infra）、租户隔离（有意不引入，
按 user/channelId 归因）。CI 新增该测试步。

影响范围：仅 agent_swarm（新增测试 + 文档冻结 + CI）。无运行时逻辑改动；不改 Manager↔Swarm
契约、计费、审批链、密钥处理（仅为既有强制点补可验证测试）。

Refs #19

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

docs/integration/security-boundary.md

@@ -1,6 +1,10 @@
 # 安全边界（Secret / Workspace / Tool / Approval / Tenant / Sandbox）
 
-> 状态：**部分已实现，部分待接入**（依据 `heicode-mananger/docs/heicode.md §六/七`、`docs/heicode-runtime-auth-newapi-secret-design.md §三/五`、`docs/integration/heicode-am-contract.md §3.1/§4`）。
+> 状态：**已强制边界 FROZEN v1（可验证）+ 部分待接入**（依据 `heicode-mananger/docs/heicode.md §六/七`、`docs/heicode-runtime-auth-newapi-secret-design.md §三/五`、`docs/integration/heicode-am-contract.md §3.1/§4`）。回应 issue #19。
+>
+> **本仓强制并可验证的边界**（契约测试 `scripts/test-security-boundary.py`，CI 守护）：① secret 仅 `azkv://` 引用、明文密钥入口拒绝、回调/持久化脱敏；② workspace 写入路径越界（绝对路径 / `..` 逃逸）拒绝；③ 代码沙箱 **fail-closed**（未确认隔离则拒绝执行）。
+>
+> **本次不扩展（确认的边界/后续层，非本仓可改）**：tool/MCP 权限引擎（**无 SK/MCP 工具层**可治理）、租户隔离（**有意**按 `user/channelId` 归因、不引入 tenant）、Pod 级强化沙箱（seccomp/只读根/NetworkPolicy，归 Infra/Security）。详见 §9。
 >
 > 配套：[`runtime-contract.md`](./runtime-contract.md)、[`usage-billing-schema.md`](./usage-billing-schema.md)。
 
@@ -84,17 +88,21 @@
 
 ## 9. 覆盖与缺口
 
+✅✔ = 已实现**且有契约测试**（`scripts/test-security-boundary.py`）。
+
 | 边界 | 状态 |
 |---|---|
-| `azkv://` `secret_ref` 强校验 / 明文拒绝 / 脱敏 / `.gitignore` | ✅ 已实现（本仓） |
-| Workspace 路径越界校验 | ✅ 已实现 |
-| 审批状态机（waiting_approval + approvals 回执） | ✅ 已实现（逐项校验待加强） |
+| `azkv://` `secret_ref` 强校验 / 明文拒绝 / 脱敏 / `.gitignore` | ✅✔ 已实现 + 测试（`validate_create_request`/`_reject_plaintext_secrets`/`_redact_sensitive`） |
+| Workspace 路径越界校验（绝对路径 / `..` 逃逸拒绝） | ✅✔ 已实现 + 测试（`task_executor._resolve_workspace_path`） |
+| 代码沙箱 fail-closed（`assert_isolated`：未确认隔离拒绝执行；启动 `assert_quality_eval_safe`） | ✅✔ 已实现 + 测试（§8.1 双门控 `ENABLE_QUALITY_EVAL`+`HEICODE_SANDBOX_ISOLATED`） |
+| 审批状态机（waiting_approval + approvals 回执） | ✅ 已实现（逐项 TTL/范围校验待加强） |
 | 短期凭证派生注入、Workload Identity | 🟡 AM/K8s 侧 |
-| Tool/MCP 权限引擎 | 🔴 未实现 |
-| allowed_paths 运行时强制、强隔离 | 🔴 未实现 |
-| 代码测试沙箱（Pod 内纵深防御 + 环境清洗 + 超时/限额；**fail-closed 双门控** `ENABLE_QUALITY_EVAL` + `HEICODE_SANDBOX_ISOLATED`，启动/运行时硬失败） | ✅ 已实现（本仓，§8.1）；OS 级隔离仍依赖 Pod |
-| 强化执行沙箱（seccomp/只读根/网络策略/能力裁剪，Pod 层） | 🔴 未实现（Infra/Security） |
-| 租户隔离 | ⛔ 不在本仓（归因按 user/channelId） |
+| Tool/MCP 权限引擎 | ⏸ 本次不做 —— **无 SK/MCP 工具层可治理**；待工具层落地后随其设计权限边界 |
+| allowed_paths 运行时强制（按 grant 限定）、强隔离 | ⏸ 本次不做 —— 当前仅 workspace 根越界强制；按 grant 的 allowed_paths 待资源授权链接入 |
+| 强化执行沙箱（seccomp/只读根/网络策略/能力裁剪，Pod 层） | ⏸ 本次不做 —— 归 Infra/Security（Pod manifest） |
+| 租户隔离 | ⛔ **有意**不在本仓（归因按 `user/channelId`，不引入 tenant 概念） |
+
+> ⏸ = 确认的后续/外部层，非本仓本次范围（按规则 #9 不伪造「已强制」）。本仓**已强制**的三类边界均可由 `scripts/test-security-boundary.py` 验证。
 
 ## 10. 待对齐对象