dsh-isolation-gate：给 DeepSeek Harness 的目录访问门禁

给 DeepSeek Harness 的隔离区授权台：默认禁、名单制、点一下生效、可审计、agent 自己能查。以目录为对象管理访问边界，支持三级控制（禁/只读/读写删）、分组批量切换、审计日志与 agent 自查。拦截点落在 DSH 工具调用与显式通道两层。