修复 ZCode 列表兼容与 DSH 安装校验误判

[mindcarver]

范围

Refs #104

• ZCode：核验与刷新共用归一化，兼容顶层数组和 {plugins: [...]}；保留 malformed JSON/形状、重复记录、诊断和完整载荷检查
• DSH：将路径子串判断改为保守的 YAML 子集结构读取，只把明确启用的根级 insert 视为静态配置证据；评论、裸更新、禁用、重复定义和不确定组合不会误报 PASS
• 同步文档、registry 和正反例；无新增运行时依赖，无版本号调整

验证证据

基线 9870a3e450eac2af6d2c04699c315282649e8fc4；提交树与已独立验收补丁一致：7c8d4cbcef120e9b5e7e90c58c697f9abb64518a。

• 原始 main 完整测试：269/269
• 11 个关键新回归放到原始生产代码：11/11 失败；修复后通过
• 针对性回归：144/144
• Node 24.19.0 与 CI 对应 Node 22.23.3 完整套件：357/357
• 独立复核 PASS，独立完整重跑：357/357
• 10 项本地 CI 辅助检查、Claude Code 2.1.197 strict 校验、4 个生产脚本语法检查和 git diff --check 通过
• 干净基线克隆中 git apply --check 和应用后针对性 144/144 通过

Node 22 沙箱代理的特定 UNDICI-EHPA 实验警告曾干扰 3 项既有 stderr 精确断言；仅屏蔽该环境警告后通过，没有修改那些测试或代理行为。远端 CI 将按仓库原工作流执行。

风险与边界

• DSH 读取器仅支持文档示例的 YAML 子集；复杂但有效的 YAML、覆盖操作或条件配置保守返回 MANUAL。PASS 仅指所列静态插入配置，不证明最终运行组合、加载或事件执行
• ZCode fixtures 是基于 verify-install 的 ZCode 探测无法解析当前 plugins list --json 输出形状 #104 输出形状的去标识代表样例，并非用户私有 CLI 输出
• 本次只交付代码和合并，不更新用户的 ZCode/DSH/Claude Code/Codex，不部署
• verify-install 的 ZCode 探测无法解析当前 plugins list --json 输出形状 #104 的用户本机刷新与真实核验未执行，保持该 Issue 开放

完成审计

• 验收：两种 ZCode 形状及异常处理、DSH 结构/层次/边界均有直接回归证据；独立验收 PASS
• 实施：15 个任务文件，无页面改动、无无关文件；实现、测试和文档已完成
• 交付：必需 Thinloop CI 全部通过；head 4e34df33946cd3cbebaccb08af0dd969f9123853，GitHub 合并状态 clean，无未解决评审；合并后复核 main、CI 和本次分支清理