feat(plugin): 实现插件安全验证和审计日志功能

- 添加插件签名验证机制，支持远程证书吊销列表
- 增加插件安装时的安全检查和签名验证
- 实现插件版本存储的HMAC完整性校验
- 添加插件审计日志记录插件安装和验证事件
- 增加JS插件沙箱安全限制配置
- 添加插件商店API的签名URL字段支持
- 实现安全配置的自动刷新机制

pkg/plugin/script/js.go

@@ -48,6 +48,11 @@ func (p *JSPlugin) SetSandbox(sandbox *Sandbox) {
 
 // init 初始化 JS 运行时
 func (p *JSPlugin) init() error {
+	// 设置栈深度限制（防止递归攻击）
+	if p.sandbox.MaxStackDepth > 0 {
+		p.vm.SetMaxCallStackSize(p.sandbox.MaxStackDepth)
+	}
+
 	// 注入基础 API
 	p.vm.Set("log", p.jsLog)
 	p.vm.Set("config", p.jsGetConfig)

pkg/plugin/script/sandbox.go

@@ -21,6 +21,10 @@ type Sandbox struct {
 	MaxReadSize int64
 	// 最大文件写入大小 (bytes)
 	MaxWriteSize int64
+	// 最大内存使用量 (bytes)，0 表示不限制
+	MaxMemory int64
+	// 最大调用栈深度
+	MaxStackDepth int
 }
 
 // DefaultSandbox 返回默认沙箱配置（最小权限）
@@ -30,8 +34,10 @@ func DefaultSandbox() *Sandbox {
 		WritablePaths: []string{},
 		DeniedPaths:   defaultDeniedPaths(),
 		AllowNetwork:  false,
-		MaxReadSize:   10 * 1024 * 1024,  // 10MB
-		MaxWriteSize:  1 * 1024 * 1024,   // 1MB
+		MaxReadSize:   10 * 1024 * 1024, // 10MB
+		MaxWriteSize:  1 * 1024 * 1024,  // 1MB
+		MaxMemory:     64 * 1024 * 1024, // 64MB
+		MaxStackDepth: 1000,             // 最大调用栈深度
 	}
 }