Observe dahulu; perubahan kekal ditutup

• Linux-only
• passive observation
• read-only collector
• dry_run mesti true
• tiada shell=True
• tiada command dibina daripada input bebas
• finite timeout wajib
• output diagnosis dibatasi

Command menggunakan argument vector eksplisit, environment terkawal, timeout terhingga dan shell=False. Collector tidak memanggil subprocess secara terus.

Jalankan sebagai user khusus. Tambah permission sempit hanya untuk facility yang benar-benar diperlukan; jangan gunakan root sebagai jalan pintas.

Tool atau facility pilihan yang hilang menghasilkan PARTIAL atau UNAVAILABLE dengan ReasonCode dan limitation, bukan percubaan memasang atau mengubah sistem.