dsh-skill-scan：DSH 技能與插件包的靜態只讀安全初篩

dsh-skill-scan（lengrufeng2008，admin-security）對 DSH 第三方 skill 與 plugin bundle 做靜態只讀掃描，不執行 bundle。啓發式覆蓋指令覆蓋、curl|sh、憑證路徑、eval、混淆 Unicode、npm 生命週期腳本與 Cordis !!js 等。支持 CLI 與 DSH 插件；PASS 非安全證明，BLOCK 需人工讀行號。Node >=20，MIT 0.1.0。