[dev-cli] Enforce subprocess, path and deterministic-edit safety contracts

[wesleysimplicio]

What to build

Proteger edição determinística, resolução de paths e qualquer subprocesso do Dev CLI contra traversal, shell injection, ambiguidades de cwd e resultados não determinísticos.

Acceptance criteria

• Subprocessos recebem argv separado e cwd explícito.
• Paths fora do repositório ou fora do plano são bloqueados.
• Plano serializado tem digest estável independente de ordem incidental.
• Dry-run e apply produzem diagnósticos equivalentes, exceto mutação/receipt.
• Testes cobrem paths maliciosos, symlinks, espaços e concorrência.

Blocked by

• Make plan → dry-run → edit → receipt → reconcile a contract-tested slice

Skills

tdd, diagnosing-bugs, code-review.