dsh-rule-guard：在副作用动作执行前按规则与目标复核

dsh-rule-guard 是 yunling-bionic 维护的 DSH admin-security 插件（0.4.3，MIT）。它挂在 tools/pre-execute，对有副作用的工具调用做 fail-closed 复核：结合 AGENTS.md、.dsh/rules.md、数据目录 RULES.md 与会话最近用户指令，判断动作是否在当前目标内；否则拒绝并返回修正建议。送审含写盘、非只读 shell、网络与子代理等；免审为工作区内只读。安装命令为 dsh plugin add dsh-rule-guard。模糊指令会被拒，属软约束非安全边界。