fix(chv-muse-r11fix): cell 只遮 /usr 下路径（复测新发现 1）

--volatile=yes 下容器根是基本空的 tmpfs（只挂进只读 /usr），
nspawn 按容器根解析 --inaccessible 路径，/etc/chv 与
/home/chv/.git-credentials 在容器根里根本不存在，解析失败即
Failed to resolve 而起不来；两条 /usr 旗可解析，保留。
凭证文件按构造即不可达（容器根里无 /home、无 /etc/chv），
遮蔽不再是必须项，安全属性不变。
探针证据：celldiag2/3/4——去 inaccessible 后完整 argv 0.4s/rc=0，
单元内 $HOME/.cache 可写，单元内 ls /etc/chv 本来就不存在。

chv-guest/chv-cell.py

@@ -11,7 +11,9 @@ systemd），单元即沙箱——单元内 codex 用 danger-full-access，不
   --private-users=1000:65536 —— 单元内 uid 0 → 客机侧 chv（uid 1000）。
   效果：workspace / ~/.codex（chv 所有）单元内仍可写；host-root 0600
   文件（如 /etc/chv/guest-env）在单元内显示为 overflow uid、不可读；
-  再加 --inaccessible 遮蔽作纵深防御。
+  再加 --inaccessible 遮蔽作纵深防御（只遮 /usr 下路径：--volatile=yes
+  下容器根是基本空的 tmpfs，/etc/chv 等在容器根里根本不存在，按构造
+  即不可达，列出反而让 nspawn 解析失败而起不来，见 INACCESSIBLE_BASE）。
 
 网络：--network-veth。宿主侧 ve-chv-cell（10.200.0.1/24），单元侧
 host0（10.200.0.2/24，默认路由经 10.200.0.1），客机侧 NAT 出站
@@ -79,11 +81,15 @@ DROP_CAPABILITIES = [
 SYSCALL_FILTER = ("@system-service ~io_uring_setup "
                   "~io_uring_enter ~io_uring_register")
 
-# 单元内遮掉的路径：凭证与浏览器（单元内跑不起自己的浏览器，
-# 只能走 broker 的 chv-browser）。
+# 单元内遮掉的路径：浏览器（单元内跑不起自己的浏览器，
+# 只能走 broker 的 chv-browser）。只列 /usr 下的路径——
+# round-11 复测纠正（第二轮）：--volatile=yes 下容器根是
+# 基本空的 tmpfs（只挂进只读 /usr），nspawn 按容器根解析
+# --inaccessible 路径，不存在的路径即启动失败；/etc/chv 与
+# /home/chv/.git-credentials 在容器根里根本不存在（无 /home、
+# 无 /etc/chv），凭证文件按构造就不可达，不再列出遮蔽。
+# 旧的两项若列回，cell 会报 Failed to resolve 而起不来。
 INACCESSIBLE_BASE = [
-    "/etc/chv",
-    "/home/chv/.git-credentials",
     "/usr/local/share/ms-playwright",
 ]