dsh-readfence：为 DeepSeek Harness 补上读侧权限闸门

DSH 默认沙箱主要限制写入，read、grep、glob、shell 等仍可广泛读盘。dsh-readfence 在工具执行前做读检查：可读目录白名单、list/workspace/full 三种会话级读模式、范围外读取的审批卡片，并将读写权限合并为输入框下方胶囊控件。支持审计日志与斜杠命令，需 Node.js 20+，安装后须重启 Host。本文依据官方 README 说明安装、用法与安全边界。