feat(chv): 安全审计修复 High/Medium/Low（堆叠于 #239）

审计报告 ~/workspace/chv-security-audit/REPORT.md（No-Go，
Critical 0 / High 7 / Medium 8 / Low 5）代码层修复，mock
测试覆盖，真机动态验证一律未做、只列清单（见
docs/chv-production-readiness.md §11）。

High：
- H1 egress 代码门：代理地址校验、直连显式允许+审计、
  每 VM 独立 tap/mac/ip 校验、net 字段白名单；宿主防火墙
  列为部署清单，代码门+防火墙缺一不可。
- H2 网关 key 移出 argv：provisioned seed 盘客内文件
  /etc/chv/guest-env（0600）投递，传输层密钥进 argv 直接
  ValueError；keyscan 模式密钥投递 fail-closed。
- H3 任务盘删除：stop/recycle/cleanup 删 disk.raw（保留期
  0）+ 残留盘 GC，删失败审计+脏标记。
- H4 默认值改 provisioned：keyscan 只作显式 opt-in。
- H5 seed.iso 生成即 0600；宿主私钥 seed 盘建好后即删；
  崩溃残留扫描 cleanup_stale_secrets。
- H6 state_dir 默认出 /tmp（~/.local/share/.../chv-vms，
  preflight 保 0700）；api-socket 组/其它可写即 fail-fast。
- H7 tap 隔离校验：net.json 登记+stop 释放，共享即拒绝审计。
Medium：M1 shlex 远程转义；M2 清理失败即拒起（脏标记）；
M3 配额默认 50GB + 快照数/总量/保留期上限；M4 SHA256 必填
+ BUILDINFO versions 实测记录（事前 lockfile 列清单）；
M5 host key/ preflight/失败审计补齐；M6 reuse 须声明单租户
项目；M7 容量计数只认连通 socket；M8 sshd 加固进 build.sh
断言。Low：L1 链接不跟随；L2 路径白名单；L3 失败审计；
L4 双变量警告+字段白名单；L5 预热盘/任务盘对应关系定义。
旧测试：实验室默认值与生产默认值区分标注；行为已变的旧
测试按新语义更新（容量死 socket、快照白名单、磁盘路径
白名单、网关 argv、reuse 租户声明）。
测试：新 test_chv_secfix 39 项；旧 117 项 + 2 项新增断言 =
158 项；worker 相关 129 项；前端 vitest 9 项；cloud 全量
1588 项（skipped 4）。

cloud/worker.py

@@ -340,10 +340,11 @@ def _call_goal_resume_breakpoint(executor, task, model_provider=None,
     Local 仍走原路径（调用方直接传 model_provider，不经过这里，
     以免改生产语义）；这里只用于非 Local 执行器：签名接受
     model_provider 时传它（CHV/Docker 均接受），否则只传 task
-    （旧假执行器单参）。feat-chv-fix（P1-1）：CHV 的
-    gateway_env 经此进入 SSH env 前缀注入客机环境（不进
-    镜像/代码/prompt）；CHV 没有 Local 那样的进程 env 通道，
-    SSH env 前缀是唯一通道，值只出现在宿主侧 ssh argv。"""
+    （旧假执行器单参）。feat-chv-secfix（H2）：CHV 的
+    gateway_env 不再经 SSH env 前缀注入（密钥值进 argv 的
+    旧路径已废除），改走 provisioned seed 盘客内文件投递；
+    CHV 没有 Local 那样的进程 env 通道，seed 文件是唯一通道，
+    keyscan 模式下密钥投递 fail-closed。"""
     method = getattr(executor, "goal_resume_breakpoint_task")
     try:
         params = inspect.signature(method).parameters