dsh-fleet-audit：给 DSH agent 机器做一次只读的凭据卫生审计

## 前言 多 agent 时代的开发机上，凭据散落在 `~/.gitconfig`、agent 配置、`.git/config` 和各种 `.env` 里。git 的 `url.*.insteadof` 或 `pushurl` 一旦嵌了 token（例如 `https://oauth2:<token>@gitlab.example.com/...`），任何一次 `git remote -v` 都会把密钥打印进日志、对话或 CI。 以往的做法是手工逐个检查文件权限、grep 一遍 remote 配置，费时且容易漏。dsh-fleet-audit 把这件事