dsh-tool-policy：在 DeepSeek Harness 工具执行前做 allow / ask / deny

dsh-tool-policy 是 DeepSeek Harness (DSH) 的社区插件，用于在工具执行前对内置、第三方及 MCP 工具实施声明式策略控制。它采用默认拒绝（deny-by-default）模型，支持根据工具名和参数模式匹配，对单次调用执行允许、询问或拒绝操作。该插件基于 Node.js 环境运行，通过 JSON Pointer 描述参数条件，并提供不包含敏感数据的决策追踪日志以便排查。安装后可通过 YAML 配置定义规则，例如允许只读操作、强制 shell 或外部 MCP 工具审批、直接禁止删除操作等。需注意，该插件仅作为策略路由层，不具备沙箱隔离、参数改写或破坏性行为检测