dsh-staging-guard：用 pre-execute 鉤子把「成果區」設爲只讀

dsh-staging-guard 是 mdl233 發佈的 DSH admin-security 插件，在 tools/pre-execute 階段攔截 write/edit/str_replace_editor 對受保護根下成果區的寫入，引導 agent 只改草稿區。受保護根由 roots.json 與會話 cwd 並集決定；定稿需人在宿主外運行 promote.mjs。支持環境變量配置、disabled 應急放行與 test-scope.mjs 離線測試。作者明確其爲防手滑軟邊界而非安全邊界。安裝可用 node install.mjs 或 dsh plugin add dsh-staging-guard。MIT 1.0.0。