[安全性] 通过未验证的 --path 参数任意加载文件和逻辑劫持

问题摘要 在 CLI 入口脚本 (run.py) 中，--path 参数缺乏严格的目录遍历检查和加载源白名单。这使得应用程序可以从任意位置加载未经授权的 YAML 工作流配置，从而可能导致底层代理框架的逻辑劫持。