lua-lsm: expose shared dictionaries through securityfs

[heyu-233]

改动概述

• 为共享字典增加不可变、引用计数管理的字符串值，并提供稳定的快照读取接口
• 增加带模块生命周期保护的共享字典访问封装：完整操作期间持有模块锁，并仅允许访问 LIVE 状态的模块
• 增加实验性的 securityfs 控制文件 /sys/kernel/security/lua/shdict，支持用户态按类型执行 get 和 set
• 新增 tools/testing/selftests/lua_lsm 测试，并登记到 kselftest 顶层目标

本 PoC 已跑通完整链路：

加载 Lua 策略 → Hook 创建共享字典 → 用户态通过 securityfs 读写 → Lua Hook 立即读取新值并改变访问结果

整个过程不需要重新加载模块。

验证结果

• RISC-V 内核交叉编译：通过
• QEMU riscv64 自测试：54/54 PASS
• git diff --check：通过
• checkpatch.pl：0 errors

测试覆盖以下场景：

• bool、number、普通字符串和含 NUL 字符串的读写
• 同一 key 覆盖后立即可见
• 用户态更新共享字典后，Lua Hook 行为即时改变
• 非法输入、超长输入及权限检查
• 禁止向用户态暴露 lightuserdata 内核指针
• Lua 侧删除节点后的引用计数和资源回收
• 非 LIVE 模块访问返回 -ESHUTDOWN

当前范围

该接口目前明确作为 PoC/不稳定接口，不视为正式 ABI。本次改动暂不包含：

• 字典枚举及用户态删除命令
• 每模块独立的 securityfs 目录
• KASAN/KCSAN 并发压力测试
• 合并或重新实现上游 PR lua-lsm: fix unregister and module lifetime handling openanolis/lua-lsm-kernel#16

上游 PR openanolis#16 所处理的 Lua 侧卸载生命周期问题仍保持在本次改动范围之外。