dsh-hard-gate：DeepSeek Harness 的独立权限闸门

dsh-hard-gate 为 DeepSeek Harness 提供独立于系统 ACL 的最后闸门，补齐工作区写入零审批、整文件替换缺乏视图完整性检查、ACL 失败后兜底缺失三个结构性缺口。插件通过挂载点、文件工具规则、Shell 规则、Auto 模式和还原点，在保持可用性的同时显著提升安全性。