write-approval-guard：把 DSH 写盘与敏感读变成人工审批

SilverCrossing 的 write-approval-guard 挂在 DSH tools/pre-execute，对 write/edit、Shell 写盘与敏感文件读取弹出审批，高危操作两次确认，可与 outside-access-guard 正交共存。文章说明三类判定、gateWrites 降级、unknownTools 兜底、子代理 fail closed、配置与斜杠命令，以及未登记写工具与 Shell 启发式的已知限制；安装命令取自 README 的 dsh plugin add/remove 示例。