v0.2.6 — 补 engines 兼容声明与权限边界

改什么

响应 DSH STORE 的自动检查（issue #1269）。不是修 bug，是补清单声明。

• package.json 增加 engines：node >= 20、dsh >= 0.2.0-0 < 0.3.0
• README 增加「权限与边界」：逐条对齐扫描器的 files / network / credentials 三条信号

三条信号的实际行为

信号	实际
files	只写不读。每次交接写一份 .dsh/handoff/*.md，客户端写一份回报文件。磁盘上的会话文件不读
network	只挂三个本地接口（/api/handoff/{run,status,client}），不发外部请求
credentials	不涉及。源码里的 token 是文本分词（tokenize），不碰任何 token 或凭据

运行期依赖只有宿主注入的 peer，没有第三方包。