Guard PowerShell file read expressions

Author: SqlRush

docs/cc-100-roadmap.md

@@ -247,6 +247,8 @@ M5 补充：PowerShell read-only classifier 收紧 `Get-Acl`，继续允许安
 
 M5 补充：PowerShell read-only classifier 收紧 `Get-ChildItem`，继续允许安全相对路径、literal wildcard filter/include/exclude 和常见 attributes/depth 参数，但拒绝动态表达式参数和越界路径。
 
+M5 补充：PowerShell read-only classifier 收紧 `Get-Content`/`Get-Item`，继续允许安全相对路径和普通 literal encoding/read-count/stream 参数，但拒绝动态表达式参数和越界路径。
+
 M5 补充：Bash 前台输出和 `BashOutput` 现在都走统一 tool-result budget 截断/落盘路径；`BashOutput` 增加 100k 最大结果限制，大后台输出会保存完整内容并返回 `full_output_path` 元数据。
 
 M5 补充：Bash/PowerShell 后台任务现在会发 `*_background_started` 和 `*_background_finished` tool progress 事件，包含后台 ID、shell/status、exit/timed_out/cancelled、duration、时间戳和输出字节数，不携带 command 文本；completed、timed_out、cancelled 终态均已覆盖测试。

docs/claude-code-go-rewrite-plan.md

@@ -234,6 +234,7 @@ test/parity/                 # golden tests against TS/official behavior
 - 本轮补充：PowerShell read-only classifier 收紧 `Test-Path`，继续允许安全相对路径和普通 literal 过滤/类型参数，但拒绝动态表达式、hashtable 参数和越界路径。
 - 本轮补充：PowerShell read-only classifier 收紧 `Get-Acl`，继续允许安全相对路径和普通 literal filter/include/exclude 参数，但拒绝动态表达式参数和越界路径。
 - 本轮补充：PowerShell read-only classifier 收紧 `Get-ChildItem`，继续允许安全相对路径、literal wildcard filter/include/exclude 和常见 attributes/depth 参数，但拒绝动态表达式参数和越界路径。
+- 本轮补充：PowerShell read-only classifier 收紧 `Get-Content`/`Get-Item`，继续允许安全相对路径和普通 literal encoding/read-count/stream 参数，但拒绝动态表达式参数和越界路径。
 - 本轮补充：`BashOutput` 现在设置 100k 最大结果大小，和前台 `Bash` 一起覆盖大输出 tool-result preview 截断、完整输出落盘及 `full_output_path` 元数据。
 - 本轮补充：Bash/PowerShell 后台命令现在会通过 tool progress 通道发 started/finished 事件，记录后台 ID、shell/status、exit/timed_out/cancelled、duration、时间戳和 stdout/stderr byte count，且 completed、timed_out、cancelled 终态测试确保 progress 不携带 command 文本。
 - 本轮补充：WebSearch domain filters 现在在 schema 层声明 array `items:string`，通用 tool schema validator 同步支持 `items` 校验；`allowed_domains`/`blocked_domains` 会拒绝空字符串、URL/port、非法 wildcard 和非域名 label。

internal/tools/powershell/tools.go

@@ -1231,12 +1231,14 @@ var powerShellReadOnlyCmdlets = map[string]powerShellReadOnlyConfig{
 		pathFlags:                  stringSet("path", "literalpath"),
 		valueFlags:                 stringSet("totalcount", "head", "first", "tail", "encoding", "delimiter", "readcount"),
 		validatePositionalsAsPaths: true,
+		rejectExpressionValues:     true,
 	},
 	"get-item": {
 		allowedFlags:               stringSet("path", "literalpath", "force", "stream"),
 		pathFlags:                  stringSet("path", "literalpath"),
 		valueFlags:                 stringSet("stream"),
 		validatePositionalsAsPaths: true,
+		rejectExpressionValues:     true,
 	},
 	"test-path": {
 		allowedFlags:               stringSet("path", "literalpath", "pathtype", "filter", "include", "exclude", "isvalid", "newerthan", "olderthan"),

internal/tools/powershell/tools_test.go

@@ -117,6 +117,7 @@ func TestPowerShellCommandClassification(t *testing.T) {
 		`Get-Content .\README.md`,
 		"type README.md",
 		"gi README.md",
+		"Get-Item -Stream Zone.Identifier README.md",
 		"gp . -Name Mode",
 		"Select-String TODO README.md",
 		"Select-String -Pattern TODO -Path README.md",
@@ -320,6 +321,9 @@ func TestPowerShellCommandClassification(t *testing.T) {
 		"Get-Content -First",
 		"Get-Content -First 5 /etc/passwd",
 		"Get-Content -OV x README.md",
+		"Get-Content -Encoding $env:ENC README.md",
+		"Get-Content -ReadCount @{N=1} README.md",
+		"Get-Item -Stream $env:STREAM README.md",
 		"Get-Process -PV p",
 		"Get-Process -Infa",
 		"Get-Process -Proga",