fix: 缓解 DSH rc.2 Auto Mode 冗余沙箱请求

[LonelyHerbivore]

修改说明

• 将直接 DSH 依赖、兼容范围和锁文件对齐到 0.1.1-rc.2。
• 将 sandbox 请求区分为：字段缺失、冗余 workspace-write、真实 danger-full-access 扩权和非法值。
• 对冗余同值请求，在进入官方执行器前返回稳定的可恢复拒绝；下一次模型组装仅对被拒绝工具投影无 sandbox_permissions、justification 字段的 detached schema。
• 不改写 ToolExecution.arguments，不替换官方工具/执行器，不修改已安装 DSH 包。
• 保持一次性扩权的直接 Agent、call、tool 和 reason 绑定。

验证

• pnpm verify：92 passed，22 skipped；Windows PowerShell 原生测试 8/8 通过。
• git diff --check 通过。
• 已用实际 tarball 和隔离 DSH_HOME 运行 CPAMC / gpt-5.6-luna / max headless gate，且明确 unset DEEPSEEK_API_KEY。
• 同一会话中，第一次带冗余字段的 pwsh 调用被拒绝；紧接着同一命令无字段重试成功，并读取到 recovered sentinel。

安全边界

这是 rc.2 的检测与重试缓解，不宣称原始同值请求会透明执行，也不关闭上游严格扩权限制。

[NanmiCoder]

感谢贡献。已在维护集成中吸收这份 PR 的冗余 sandbox 恢复思路，并适配现代 Harness：执行前拒绝、plugin notice、一次组装的无 sandbox 字段 schema、保留 args/canonical schema/常驻权限。原 PR 的旧 RC 依赖回退没有合入；支持范围以当前精确兼容表为准。

真实 API 已观察到冗余请求被拒绝后成功重试；四版产品入口回归还覆盖 classifier/approval/grant 不被冗余请求提前触发。贡献明确归因到本 PR 和 LonelyHerbivore。

该修正已随 0.1.7 发布，因此关闭此 PR 作为已由适配后的集成实现取代。验证与取舍