fix(core,cli): 원자적 쓰기 공용 경계로 통합해 skill 심볼릭 링크 관통 차단

[ictechgy]

배경

전체 개선 검토(보안·성능·구조·기능·사용성)에서 확인된 최상위 보안 지적이다.

• skill --install은 File.writeAsString으로 대상에 직접 썼다. writeAsString은 심볼릭 링크를 따라가므로, 신뢰할 수 없는 체크아웃이 <dir>/dartograph/SKILL.md를 git 심볼릭 링크로 심어둔 경우 링크 대상(체크아웃 밖 경로 포함)이 그대로 덮여썼진다. 링크 대상이 없으면 --force 없이도 발생했다.
• init과 BaselineStore.write의 임시 파일 이름은 .tmp.$pid로 예측 가능하고, 기존 내용물(심어둔 링크 포함)을 절단·관통했다. init만 PR #80의 rename 교체 정책이 있었고 baseline은 finally 정리, skill은 정책 자체가 없는 3박자였다.

변경

• lib/src/core/atomic_write.dart 신설: PID+무작위 접미사(16 hex) 임시 이름, createSync(exclusive: true)로 배타적 생성(그 자리에 무엇이 있으면 실패 — 심어둔 링크 절단·관통 불가), rename 교체(대상 자리의 링크는 링크 자체를 교체), 실패 시 임시 정리는 best-effort로 원래 예외를 보존. 보장 경계(POSIX 전용 속성, 적극적 race 범위 밖, 부모 디렉터리 미생성)를 클래스 문서로 명시.
• init·skill·BaselineStore.write를 공용 경계로 이관해 정책 일원화. 종료 코드·payload 바이트 계약 불변.
• skill 충돌 가드를 init과 정렬: Link(...).exists()를 추가해 매달린 링크도 --force 없이는 조용히 교체되지 않게 한다(init은 이미 Link.existsSync()로 이를 검사).

리뷰 반영 (GLM packet-review, 차단 0건)

• cleanup 이중 실패가 원래 예외를 가리는 문제 → best-effort 정리로 수정
• 접미사 엔트로피 8→16 hex, Random.secure static hoist
• 배타적 생성(헤드라인 보장)의 실패-close 회귀 테스트 추가(접미사 주입 파라미터)
• 대상 자리 매달린 링크 교체 단위 테스트, skill/init CLI symlink 회귀 테스트
• 기각: NAME_MAX 인접 경로(기존 패턴·영향 낮음), 디렉터리 fsync(CLI 무관), rename 전 링크 재검사(경쟁 조건 하에서 의미 없음)

검증

• dart format clean, dart analyze clean, 전체 테스트 304개 통과(신규 6개 포함)
• tool/verify-false-positive-corpus.sh 통과, tool/verify-cli-contract.sh 통과
• dart pub publish --dry-run 경고 0(clean git)
• 커버리지 97.04%(≥90 게이트)