普通 npm 依赖由其他插件间接使用

主要功能

• 列出读取 $DSH_HOME/profiles/web/package.json（dependencies + dsh.profile.bundles）与 node_modules 里的实际版本，区分「用户插件」与「内置模块」。
• 路由走与 /api 网关一致的浏览器信任围栏（Host 回环 / trustedHosts + 同源），阻止恶意网页对本地 DSH 服务做 CSRF 安装/卸载。
• 只依赖模块表提供的 react
• API 复用 DSH Web API 的请求信任围栏，检查回环 Host、trustedHosts 和同源请求。
• 启用 / 禁用切换插件在 dsh.profile.bundles 中的挂载（禁用保留安装，仅下次启动不再加载）。