fix: 修复 Codex Security 扫描发现 (2.10.2)

[taekchef]

结论

修复 Codex Security 扫描确认的 6 个低危攻击面，并发布版本元数据 2.10.2。

改动

• native 候选任务改为只读、移除持久 Git 凭据，固定 node-lief 1.3.2；报告和支持证据改为工作流产物，不再直接写 Issue 或 PR。
• 远程 Release 安装只注册已校验提交的本地快照；固定安装的 SessionStart 只提示新 Release，不回到可变市场源自动更新。
• 上游包缓存要求当前用户私有目录；原生提取拒绝符号链接输出，临时文件改用私有随机目录。
• GitHub 令牌通过 curl 请求头标准输入传递；设置原子替换保持 0600 权限。

验证

• bash scripts/preflight.sh --base origin/main --skip-release-state
  • 360 passed / 0 failed / 3 platform skips
  • 上游兼容矩阵 6 passed / 0 failed / 0 skipped
• node --test tests/session-start-hook.test.js: 32 passed / 0 failed
• 安全聚焦回归：56 passed / 0 failed
• payload、支持边界、README 和生成文档漂移检查通过

Release 状态门未在 PR 分支执行：2.10.2 需合并后再打 tag 和创建 GitHub Release。