加加固基线核查官

拿一份声明好的加固基线，对本地目录做一次只读取证的体检：其他用户可写的文件、setuid 与 setgid 位、配置文件里硬编码的凭证、响应头基线、依赖版本下限、以及只靠文件里自己写的标记来宣称已加固的条目。六类判定一律 fail-closed：越界列出并计数，跳过的必须写理由，定位不到就退到待核实而不是编一条占位证据，只靠自证标记的一律要求另给出独立验证方式。报告只报位置和字段名，不回显命中值，也不出现风险分。不产出任何可执行的利用步骤，不联网，不改被审文件。