feat: build v0.5 firewall lifecycle

[Opperiesen]

Résumé

Cette PR draft implémente la tranche v0.5.0 Firewall :

• contrat portable zones/groupes/règles et ordre explicite ;
• inventaire/export Integration API avec fixtures et refus fail-closed ;
• validation, planification, dépendances, reorder, apply/prune et récupération ;
• CLI, capabilities et MCP read-only ;
• portes d’intégration contrôleur séparées lecture/mutations ;
• documentation migration, compatibilité, sécurité et release gates.

Issues couvertes par la tranche

• Define the v0.5.0 firewall resource contract and ordering model #86
• Add firewall inventory, export and versioned controller fixtures #87
• Add deterministic firewall validation and dependency-aware planning #88
• Add controlled firewall apply, prune and recovery semantics #89
• Expose firewall through the existing CLI, capabilities and read-only MCP surfaces #90
• Complete v0.5.0 firewall evidence, documentation and release gates #91

Les issues restent ouvertes jusqu’à la revue, au run contrôleur protégé et à la validation finale de la release.

Vérifications locales

• uv run pytest — 129 passed, 11 skipped (live gates non configurées)
• uv run ruff check src tests scripts
• uv run ruff format --check src tests scripts
• uv lock --check
• uv run python scripts/verify_v020_evidence.py
• uv run python scripts/verify_v030_evidence.py
• uv run python scripts/verify_v040_evidence.py
• uv run python scripts/verify_v050_evidence.py

Gate restant

La preuve v0.5.0 live doit remplacer les deux statuts pending dans docs/evidence/v0.5.0-firewall.md par les résultats protégés avant la release stable.

Sécurité

• MCP reste sans outil d’écriture.
• Les mutations firewall sont API-key-only, opt-in, préfixées lanweave-ci-* et limitées à des règles désactivées dans la suite live.
• Aucun secret, payload brut ou topologie privée n’est ajouté.