dsh-skill-scan：DSH 技能与插件包的静态只读安全初筛

dsh-skill-scan（lengrufeng2008，admin-security）对 DSH 第三方 skill 与 plugin bundle 做静态只读扫描，不执行 bundle。启发式覆盖指令覆盖、curl|sh、凭证路径、eval、混淆 Unicode、npm 生命周期脚本与 Cordis !!js 等。支持 CLI 与 DSH 插件；PASS 非安全证明，BLOCK 需人工读行号。Node >=20，MIT 0.1.0。