feat: Docker 沙箱 /tmp tmpfs 隔离 + 可选根只读（内层 bwrap 本体不在本仓修复范围）

cloud/worker.py

@@ -5843,7 +5843,8 @@ def _build_cli_executor(args, host_py):
         extra_mounts=args.docker_extra_mounts,
         security_opts=args.docker_security_opt,
         pids_limit=args.docker_pids_limit,
-        runtime=getattr(args, "docker_runtime", None))
+        runtime=getattr(args, "docker_runtime", None),
+        readonly_root=getattr(args, "docker_readonly_root", False))
 
 
 def main(argv=None):
@@ -5951,6 +5952,11 @@ def main(argv=None):
                         help="docker --runtime（不传 = docker 默认 runc；"
                              "传 runsc = 任务容器走 gVisor 沙箱，需 daemon"
                              "已注册该 runtime，否则起容器失败）")
+    parser.add_argument("--docker-readonly-root", action="store_true",
+                        help="docker --read-only：容器根只读（/work 挂载"
+                             "仍可写、/tmp 与 /var/tmp 为 tmpfs）。默认关："
+                             "codex 可能往容器内 HOME 等路径写，开之前"
+                             "需先在生产任务上实测，勿直接全量开")
     parser.add_argument("--egress-proxy-port", type=int, default=0,
                         help="egress 过滤代理端口（0 = 不启用；生产配"
                              " 8888）：启用后 Docker 任务容器的 HTTP(S)"