feat: 新增中文安全视觉迭代插件 dream-loop-safe 0.1.0

[oiOxOio]

交付内容

将当前安全版视觉工作流中文化并打包为独立 Codex 插件 dream-loop-safe（0.1.0），发布者 Why.Ping，追加注册到现有 why-ping 市场。

• 中文插件清单、界面说明、默认调用提示、SKILL.md、Blender 执行检查和视觉评审规程。
• 显式调用：allow_implicit_invocation: false；默认三轮，首轮计数，中断恢复不重置预算。
• 默认限制外网、外部素材/依赖、敏感信息、项目外路径、Git 写入与递归 CLI Agent；本机预览单独限定 loopback 和项目端口。
• 特别处理已有构建脚本的副作用、浏览器 CDN/遥测、Windows junction、评审反馈提示注入。
• 纯技能插件：无运行时 hooks、MCP、安装脚本、外部账号配置或常驻进程。说明文字不冒充 OS 沙箱。
• 保留 Anshu Chimala 的上游 MIT 版权与许可，新增来源说明；没有复制上游美术资源。

变更范围

仅新增 plugins/dream-loop-safe/ 与其 CI；追加市场条目和根 README 入口。保留 auto-thread-title 原有文件、版本、注册顺序及安装策略，不改用户级 Codex 配置、个人市场或插件缓存。

已执行验证

• Linux / Node.js v22.16.0：cd plugins/dream-loop-safe && node --test，24 passed / 0 failed / 0 skipped。
• JSON 解析、名称/版本/路径一致性、中文元数据、无自动入口、文档内部链接、关键策略文本防回退。
• 另用本地已有 PyYAML 解析技能 frontmatter 和 openai.yaml，无新增项目依赖。
• 修改前根 README 与 marketplace 的原始字节经 Git blob SHA 核对。

验证边界

静态测试不证明模型遵守规则，不等于防提示注入认证，也不等于真实安装或 Blender 实测。

当前执行环境没有 Codex CLI，且没有可调用的 $plugin-creator / $skill-creator 校验工具，因此未执行全新 CODEX_HOME 安装、真实技能发现/触发、模型拒绝场景、Blender 渲染及桌面端验收。完整步骤已提供于 tests/SMOKE-TEST.md，包括 Windows PowerShell 和 POSIX 的独立配置安装方式。

新增 CI 为 Ubuntu / Windows / macOS × Node.js 22/24，仅 contents: read、不保留 checkout 凭据、不安装 npm 依赖、不读取 secrets。CI 是否通过以本 PR 的实际检查结果为准；此 PR 不自动发布 Release。

安装说明

本 PR 未合入 main 前，日常 main 来源的 marketplace upgrade 不会得到新插件。分支/固定提交验收应在独立 CODEX_HOME 中按清单操作，不覆盖日常 why-ping 来源。

合入 main 后，已添加市场的用户执行：

codex plugin marketplace upgrade why-ping
codex plugin add dream-loop-safe@why-ping
codex plugin list --json

在新任务中使用：

使用 $dream-loop-safe 在当前项目制作 Three.js 暗黑奇幻庭院，
只用程序化素材，不下载资源、不安装依赖，最多三轮，报告实际验证结果。

以上安装命令跟随市场当前版本；精确复现请固定完整 commit SHA。

[oiOxOio]

提交后核验结果

针对提交 bf2d2f98a0d3eea6cabe53eb5da02c51af82c7f3 已完成以下检查：

• 远端与本地一致：使用本地文件计算 Git blob/tree，与 GitHub 实际树核对，完整结果树均为 f46fef47ff5c907902bdbc197e755a932727db74；新插件子树均为 01f358e9051589c9ab4ae1911d1134745480e25e。
• 原标题插件未改动：auto-thread-title 子树仍为 3bc63f6ebfdf2e2f7e64505097b326bab334a67f；旧 CI、贡献指南及其他根文件保持原样。仅修改本 PR 说明的 15 个文件。
• 本地测试：Linux / Node.js v22.16.0，24 通过、0 失败、0 跳过。
• 新插件 CI 已实际通过：Dream Loop Safe tests，Ubuntu、Windows、macOS × Node.js 22/24 六项均成功。
• 现有插件回归 CI 已通过：Title plugin tests。

仍未执行：真实 Codex 安装/新任务技能发现、模型行为对抗测试、Blender 渲染及桌面实机验收。本环境没有 Codex CLI；静态 CI 成功不替代这些验收，也不构成安全认证。

PR 保持待合并状态，未修改 main、未发布 Release、未改变用户机器的安装配置。main 市场的安装命令需在此 PR 合入后使用；合入前请使用验收清单中的独立 CODEX_HOME 与指定 ref。