fix(plugins): bili output_dir 系统目录黑名单 + recoverydiag db_path 沙箱限制

P3 bili: output_dir 配置项此前未校验，yt-dlp 可被配置写到任意系统目录。
加系统目录黑名单（/、/etc、/usr、/var 等），命中直接拒绝执行。

P4 recoverydiag: db_path 参数 LLM 可控，可探测读取任意 sqlite 文件。
现强制限制在 data 目录内（前缀校验），越界返回提示。

两插件重打包升版（bili 1.2.0 / recoverydiag 0.2.0）安装验证
config_kept=true，内核重启加载正常。

third_party/homeagent-sdk/example/bili/plg.json

@@ -0,0 +1,19 @@
+{
+  "name": "bili",
+  "name_zh": "B站视频下载",
+  "name_en": "Bilibili Video Downloader",
+  "version": "1.2.0",
+  "description": "B站视频下载工具，基于 yt-dlp 引擎。支持查看视频清晰度列表、指定格式下载、可配置下载目录。",
+  "author": "HomeAgent",
+  "entry": "plugin.so",
+  "tags": [
+    "bili",
+    "video",
+    "download"
+  ],
+  "targets": "linux/amd64",
+  "outdir": "dist",
+  "bundle": true,
+  "replaces": {},
+  "source_dirs": []
+}