dsh-trust-check：DeepSeek Harness 插件静态能力披露

`dsh-trust-check` 是 DeepSeek Harness (DSH) 的插件静态审计工具。它通过分析插件源码，静态披露能力面（如读写、网络）、注入面及来源面，提供文件行号与原文作为证据，不消耗 token 且不提供“安全”结论。 该工具支持 Web UI 和 CLI（含 CI 闸门）两种模式，提供红、需确认、无风险三种裁决。核心功能包括检测安装脚本、核心 bundle 被覆盖、凭据读取、非内网明文 HTTP 外连等高置信度风险。插件导出稳定 API，供集成方在安装前快速筛查插件。