Fase 2 — overlay try/commit/discard/status sobre overlayfs

Nuevo crate hammer-overlay + integración al CLI. Diseño:

- API: try_overlay(targets, state_root) → OverlayId, status, discard, commit.
- Layout: <state>/<id>/{state.json, mounts/<slug>/{upper,work}}. El manifiesto
  permite a `status` enumerar overlays sin estado en memoria.
- commit: desmonta primero, luego cp -a upper→lower por archivo, procesa
  whiteouts (char dev 0/0) como remove en el lower. Sin diario aún (Fase 3).
- discard: umount LIFO + rm del state. Idempotente sobre `not mounted`.
- Privilegios: la librería no asume; emite `mount`/`umount` y deja que el
  caller los tenga. CLI sin sudo falla con mensaje claro. El daemon de
  Fase 5 los obtendrá desde contexto privilegiado.

Tests:
- 6 unit tests (slug, defaults, manifest, errores).
- E2E bajo bwrap+user-ns con CAP_SYS_ADMIN: ciclo try → escribir → commit →
  verificar persiste; try → escribir → discard → verificar revertido;
  remove en merged → commit → whiteout aplicado al lower. Gateado en
  HAMMER_OVERLAY_TESTS=1: por defecto, los kernels deniegan el mount
  overlayfs en user-ns no-privilegiado (sysctl/AppArmor); el dev habilita
  cuando su entorno lo permite o corre con sudo.

CLI: hammer try [targets…] --state-root, commit <id>, discard <id>, status.
Refactor mínimo: las cmds que no tocan artefactos ya no abren (ni crean) el
store. `hammer status --state-root /tmp` no toca /store.

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

docs/10-roadmap.md

@@ -37,9 +37,14 @@ Alpine vía `bwrap`** — confirma el corazón "fábrica funcional → FHS mutab
 substrato Alpine. La VM/LXC dedicada queda como ejercicio de empaque, no como
 pre-requisito de validación.
 
-### Fase 2 — Overlay de experimentación
-- [ ] `try` / `commit` / `discard` / `status` sobre `overlayfs`.
-- **Hecho cuando:** puedes romper `/bin` en un overlay y revertir con `discard`.
+### Fase 2 — Overlay de experimentación  ▶ *en progreso*
+- [x] Crate `hammer-overlay`: `try` / `commit` / `discard` / `status` sobre `overlayfs`.
+- [x] Manifiesto persistente en `<state_root>/<id>/state.json`; `status` enumera.
+- [x] `commit` promociona archivos y procesa whiteouts (char dev 0/0) como remove.
+- [x] Subcomandos del CLI: `hammer try [targets…]`, `commit <id>`, `discard <id>`, `status`.
+- [x] Tests E2E con bwrap+user-ns, gateados en `HAMMER_OVERLAY_TESTS=1` (kernel-dependiente).
+- [ ] Hook al diario en `commit` (queda para Fase 3).
+- [ ] Anidación real de overlays (un solo overlay activo por target hoy).
 
 ### Fase 3 — Diario de mutaciones
 - [ ] `hammerd` con `fanotify` sobre `/bin`,`/sbin`,`/lib`,`/etc`.