dsh-rule-guard：在副作用動作執行前按規則與目標複覈

dsh-rule-guard 是 yunling-bionic 維護的 DSH admin-security 插件（0.4.3，MIT）。它掛在 tools/pre-execute，對有副作用的工具調用做 fail-closed 複覈：結合 AGENTS.md、.dsh/rules.md、數據目錄 RULES.md 與會話最近用戶指令，判斷動作是否在當前目標內；否則拒絕並返回修正建議。送審含寫盤、非只讀 shell、網絡與子代理等；免審爲工作區內只讀。安裝命令爲 dsh plugin add dsh-rule-guard。模糊指令會被拒，屬軟約束非安全邊界。