Por qué un Worker de Cloudflare no puede compilar LaTeX (y cómo lo resolví)
Los Workers de Cloudflare son isolates de V8: no hay sistema operativo ni forma de lanzar binarios nativos como pdflatex o Tectonic. Por eso monté un servicio de compilación en un contenedor aparte, con Tectonic, shell escape desactivado y --untrusted, directorios temporales por trabajo y un token que hace que el proceso se niegue a arrancar si falta. Incluye los despliegues fallidos y el agujero de seguridad que encontré al leer /proc/1/environ.
Cualquier cosa que el compilador pueda leer, un documento también puede leerla. Por eso nada que merezca la pena leer debe estar dentro del contenedor.