dsh-guard：给 DSH 加一道危险操作护栏

dsh-guard（npm 包 dsh-guardrail）是 DSH 的 admin-security 插件，提供危险命令拦截（22 条内置规则，deny 或 ask）、敏感路径保护、工具输出脱敏（13 条内置规则）、本地 JSONL 审计日志与 guard_report 日报。装进测试 profile 后可开 dryRun 先观察误拦，再按规则表配置。插件以当前进程权限运行，基于正则匹配，不能替代沙箱，需配合最小权限账号使用。