dsh-approval-policy

DeepSeek Harness 在无人值守场景里，审批有时会一直等下去：交互 answerer 已注册却迟迟不答，waterfall 链首也救不了「没有超时的等待」，turn 就会停在原地。宿主已把「完全没有 answerer」做成 fail-closed，但「有人注册却不答」仍是空档。子代理、定时任务、cron 发起审批时，人往往不在电脑前，无限等待没有意义；共用会话里又可能刚好有人顺手处理，不能把人工应答一刀切掉。

dsh-approval-policy 挂在 approval/request 链的最前面，给命中的无人值守请求加一道有界应答窗口：窗口内仍把请求交给下游 Web、飞书等交互面，人的回答照常生效；窗口耗尽则按配置的 fail-closed 默认（rejected 或 unavailable）落定，turn 立即结束，不再无限挂起。可按来源（subagent、scheduled、cron、all）、会话 glob 等粒度判定；交互会话未命中时立即透传，行为与原生一致。

插件零落盘状态，不写审批日志（审计仍由宿主 approval/asked 与 approval/decided 承担），与会话级 approval/policy（ask | never）互不冲突。适合跑 subagent、dsh-schedule、dsh-cron 等无人值守工作流、又希望保留「人在窗口内仍能答」的团队或个人；若需把 cron 纳入门控，可在配置中扩展 origins。