敏感数据守卫（dsh-sensitive-data-guard）：给 DSH 的删除操作加一道备份再确认的门禁

敏感数据守卫（Sensitive Data Guard）是 DreamInsight24 维护的 DSH 插件（admin-security，MIT，v0.2.6，适配 DSH 0.2.2-rc.1）。它把每个删除目标归入工作区、.dsh、敏感区三个区域：工作区完全不干预，.dsh 静默备份，敏感区先备份再弹窗确认。备份不成功、弹窗发不出去或用户超时未答一律 fail-closed 阻断。0.2.4 起用 DSH 用户问答通道回传答案，避免早期 4 位确认码被模型自行填回。插件还支持 unresolved / unknownTool 策略、保护目录、备份配额与还原、文档与 CLI（status / restore / dry-run / gc）自检。文章同时说明它拦不到的六类边界（第三方进程、cmd 子进程、动态代码、未加载、工作区、持久化 shell）以及安装启用方式。