feat(sandbox): Docker 一次性容器执行隔离边界（步骤 6-7）

引入两类安全边界：统一审批=授权边界（上一提交），一次性 Docker
容器=执行隔离边界（本提交）。LLM 即使执行恶意代码也只能在受限容器
内运行。

spec.rs: 新增 SandboxSpec（profile/network/memory/cpus/pids_limit/
  read_only），默认 profile=local 不启用容器。
executor.rs: 按 sandbox.profile 选择执行后端
  - local: 本地 spawn（env_clear + 白名单注入）
  - stdio: ias-stdio-runner，--network none --read-only --cap-drop ALL
    --security-opt no-new-privileges，仅 bind mount 工具二进制(ro)+tmpfs /tmp
  - network: ias-network-runner（预留自行联网工具）
  - builder: ias-tool-builder（供 tool_manager 编译）
  全局开关 IAS_DOCKER_SANDBOX=1，未启用时行为不变（向后兼容）。
tool_manager: build_tool 支持 IAS_DOCKER_BUILDER=1 在 ias-tool-builder
  容器内离线编译（--network none，挂载 tool_dir 到 /work）。
docker/: 三类 Dockerfile + build-images.sh 构建脚本。
  - stdio-runner: debian-slim + ca-certificates，无网络只读
  - network-runner: 预留联网工具
  - tool-builder: rust:1.88-slim 预缓存 serde_json，支持离线编译
spec 迁移: 17 个普通工具追加 sandbox.profile: stdio；tool_manager
  保持 local（自身在宿主操作文件系统）。

端到端验证: datetime 工具本地模式 +08:00，Docker 模式 +00:00（UTC），
  --rm 无容器残留。

tools/tool_manager/src/main.rs

@@ -122,16 +122,38 @@ fn update_tool_project(tool_dir: &Path, tool_name: &str, params: &Value) -> Resu
 
 fn build_tool(tool_dir: &Path, tool_name: &str) -> Result<(), String> {
     let binary = tool_dir.join("target/release").join(tool_name);
+    let use_builder = std::env::var("IAS_DOCKER_BUILDER")
+        .ok()
+        .as_deref()
+        == Some("1");
 
-    // 用 `timeout` 限制构建时长，超时返回 124；cargo 及其子进程都会被信号终止
-    let output = Command::new("timeout")
-        .arg(BUILD_TIMEOUT_SECS.to_string())
-        .arg("cargo")
-        .arg("build")
-        .arg("--release")
-        .current_dir(tool_dir)
-        .output()
-        .map_err(|e| format!("启动 cargo 失败: {e}"))?;
+    // 启用 builder 容器时在隔离环境内离线编译，挂载 tool_dir 到 /work，产物写回宿主；
+    // 否则本地 cargo（受 timeout 限制）
+    let output = if use_builder {
+        Command::new("docker")
+            .arg("run").arg("--rm")
+            .arg("--network").arg("none")
+            .arg("--memory").arg("1g")
+            .arg("--cpus").arg("1")
+            .arg("--pids-limit").arg("128")
+            .arg("--cap-drop").arg("ALL")
+            .arg("--security-opt").arg("no-new-privileges")
+            .arg("-v").arg(format!("{}:/work", tool_dir.display()))
+            .arg("-w").arg("/work")
+            .arg("ias-tool-builder")
+            .arg("timeout").arg(BUILD_TIMEOUT_SECS.to_string())
+            .arg("cargo").arg("build").arg("--release")
+            .output()
+    } else {
+        Command::new("timeout")
+            .arg(BUILD_TIMEOUT_SECS.to_string())
+            .arg("cargo")
+            .arg("build")
+            .arg("--release")
+            .current_dir(tool_dir)
+            .output()
+    }
+    .map_err(|e| format!("启动构建失败: {e}"))?;
 
     if !output.status.success() {
         // 构建失败：删除可能残留的旧二进制，避免 reload 后仍调用旧版本造成"假成功"