dsh-workspace-only-plugin：为 DSH 增加 Workspace Only 文件访问开关

`dsh-workspace-only-plugin` 是 DeepSeek Harness（DSH）的一款 MIT 许可插件，用于在任意沙箱模式下将工作区外的文件访问统一收口至用户确认。该插件通过词法扫描捕获 `read`、`write`、`edit`、`bash` 等工具调用中的越界路径及内嵌绝对路径，一旦检测到访问工作目录以外的文件，即派发 `approval/request` 请求。用户批准后放行本次调用，拒绝则中断。此机制甚至能覆盖 `danger-full-access` 模式，确保即使审批策略为 `never` 也会强制弹窗。插件支持全局持久化开关，并与 `dsh-auto-mo