dsh-pr-gate：在写入时刻做确定性写入门控

dsh-pr-gate 是 DeepSeek Harness 的 admin-security 插件，将 agent-pr-gate 在 CI 中使用的 scope 策略与残留扫描前移到每次 write/edit/str_replace_editor：pre-execute 拒绝越界写入，post-execute 扫描注入与调试残留，并写入 JSONL 账本供 CI 消费，信任路径不调用 LLM。安装命令为 dsh plugin --profile default add dsh-pr-gate，可 inline 配置或与 agent-pr-gate.yaml 共用策略。适用于已在 PR 侧做门控、希望在会话内落盘前拦截的团队；安装前需审阅源码并以当前 dsh 进程权限运行。