[R6/E1] Sandbox/whitelist

[BrunoL28]

Objetivo

Criar modo sandbox para rodar código não confiável com interop controlado.

Tarefas

• Flag --sandbox na CLI
• Em sandbox:
  • bloquear acesso direto a globalThis
  • oferecer whitelist configurável (ex.: Math, Date, console)
  • bloquear Function, eval, process (Node), require (se aplicável)
• Testes:
  • tentativa de acessar process falha
  • js/Math funciona se permitido

DoD

• Sandbox documentado e testado
• Default seguro quando sandbox ativo