fix: close every finding from the independent review

[isaquepinheiro]

PR único e final desta frente. Contém as duas rodadas de correção que se seguiram à revisão independente feita depois do merge do #1 — nenhum item da revisão ficou em aberto.

Base é feature/pubpascal-cra-compliance, head do HashLoad#263: mergear aqui atualiza aquele PR.

---

Rodada A — defeitos que o CI não via

SBOM reportava versão errada, de forma não-determinística. normalizeDepKey descartava o host, então github.com/acme/lib e gitlab.com/acme/lib colidiam numa chave só e a versão travada de uma era reportada para a outra, com boss:resolved=true. Quem ganhava dependia da ordem de iteração do map:

lock: github→1.5.0  gitlab→9.9.9
ANTES (5 runs): 1.5.0 1.5.0 / 9.9.9 9.9.9 / 9.9.9 9.9.9 ...   ← sempre uma errada
DEPOIS (5 runs): 1.5.0 9.9.9  (idêntico)

purl inválido em três frentes. GitLab saía como pkg:github, apontando para outro projeto; pkg:github exige namespace, então nome sem barra gerava purl inválido; e constraint não resolvida saía como versão, sem percent-encoding. Agora pkg:github só para github.com com owner, pkg:generic + vcs_url para o resto, e versão só quando vem do lock — com boss:constraint guardando a range declarada.

workspace clone ignorava silenciosamente toda ref fixada. ManifestRef declarava HasRef bool json:"has_ref"; o portal emite ref: {type, value} ou null e não tem esse campo. HasRef era sempre false, então o checkout da tag nunca rodava e a guarda que impede branch --codename sobre ref imutável nunca disparava.

Path traversal (gosec G703, HIGH). repoShortName alimenta caminhos em disco e repo.Name vem da API; ".." escapava do diretório alvo. O #nosec anterior alegava origem segura por Glob — não era verdade. Nomes que não são um único segmento de path agora são rejeitados.

boss cra não enxergava a saída do boss sbom — procurava sbom/sbom.cdx.json, o gerador escreve sbom/<Projeto>.cdx.json.

publish-sbom removido — POST /api/packages/{slug}/{version}/sbom não existe no portal (só parse.ts, sem route handler): 404 garantido, com diagnóstico que culpava o usuário.

Rodada B — varredura final

pkg pack removido. Escrevia um .dpkg de ~111 bytes em texto ASCII, sem código-fonte, e anunciava "successfully created". Mesmo critério que removeu sign/verify/scan.

boss cra agora sai 1 quando não-compliant — antes saía 0 sempre, inútil como gate de CI.

boss sbom --format validado — antes --format qualquercoisa gerava CycloneDX anunciando o formato inventado.

contribute: base URL com barra final gerava //api/...; erro do portal com valor não-string quebrava o unmarshal inteiro e exibia mensagem vazia; io.ReadAll sem limite (agora 1 MiB).

Regressão do próprio branch corrigida: isHelpOrVersionInvocation varria todo o argv, então boss dependencies -v caía em setup.InitializeMinimal() e pulava InitializePath() e migrações. O upstream chamava Initialize() incondicionalmente.

.dproj determinístico — a ordem dos search paths variava a cada execução (8 ordens distintas em 30 runs). No Delphi a ordem decide qual unit de mesmo nome vence.

SECURITY.md removido — publicava um e-mail não verificável e SLAs vinculantes em nome da HashLoad. Não é lugar de contribuidor externo. O badge de CRA no README saiu junto, pela mesma razão.

Comentários corrigidos onde prometiam mais do que entregam (o Close em fetchWorkspaceManifest; e o modo 0600, que é efetivo em POSIX mas inerte no Windows).

README — removidos pkg sign, pkg verify, scan, pkg pack e boss login portal (este nunca existiu em revisão nenhuma); corrigidos o uso do boss new, o caminho de saída do SBOM e as descrições de workspace clone/update/push.

---

Verificação

CI completo, 5/5 verdes em ac36d53: Test, Lint, Security Scan, Build (ubuntu-latest), Build (windows-latest).

Suíte: 29 pacotes, 0 falhas. go build, go vet, gofmt limpos. golangci-lint sem achados fora dos *_win.go pré-existentes do upstream.

Exercício ponta a ponta do CLI inteiro, em sandbox isolado — não só os comandos deste PR:

--help de todos os comandos e subcomandos	sem panic
init, new (Delphi e Lazarus), dependencies, version	ok
install github.com/HashLoad/horse	resolveu ^3.2.0, clonou, compilou, gerou boss-lock.json + modules/
sbom contra o lock real do install	version=3.2.0, purl=pkg:github/hashload/horse@3.2.0, resolved=true — idêntico em 3 execuções
cra	exit 1 não-compliant, exit 0 compliant, enxerga o SBOM gerado
sbom --format xyz	exit 1 com mensagem clara
login --token	grava; aceita token de formato novo (o cliente não valida mais prefixo)
pkg spec, workspace status	ok
dependencies -v	init completo, sem a regressão
pkg pack / pkg sign / pkg verify / scan / publish-sbom	ausentes do CLI