dsh-read-guard：在工具结果进入模型前拦截提示注入

dsh-read-guard 是 zhengqiuyang 维护的 DSH admin-security 插件，挂在 tools/post-execute 流水线上，用 repo-inject-guard 规则引擎在文件读、搜索、网页抓取等工具结果进入模型上下文前扫描，支持 observe、wrap、block 模式，默认 wrap 对高威胁内容做污点隔离。安装命令为 dsh plugin --profile default add dsh-read-guard，可在 cordis.patch.yml 配置 readTools、fetchTools 与 maxScanChars。适用于降低仓库投毒与网页注入经 READ 面进入会话的风险；插件以 dsh 进程权限运行，安装前需自行审阅源码与 MIT 许可证。