dsh-worktree-guard：用会话根与常开网约束 DSH 里的 Git worktree

dsh-worktree-guard 是 earneet 维护的 DSH 插件（admin-security），通过 worktree_create 后以副本为会话根实现沙箱写隔离，并在绑定与否均生效的 git 层安全网拦截跨副本写入、改 .git、推保护分支等操作；主 checkout 写权限经 worktree_authorize_main 等人闸授权。安装：dsh plugin --profile web add dsh-worktree-guard；配置位于 .dsh/worktree-guard.json。