dsh-custom-tool存在风险94/100

vm.runInContext在独立worker线程中执行用户在Monaco编辑器里编写的自定义工具代码，sandbox仅暴露console/受控fetch/timers等有限全局量，无require/process访问，正是“沙箱化自定义JS工具”功能本身。

该 new Function 位于打包进来的第三方 schemastery 库（vendor/schemastery）中，用于反序列化 schema.callback 字符串为函数，是校验库固有机制，非插件为 @file 功能自写逻辑，且有 typeof 检查与 try/catch 包裹。

与编译产物同源的TS实现，vm.runInContext执行用户自定义工具代码，worker线程隔离+受限sandbox+超时限制+hardenWorkerProcess，属于插件声明功能的必要实现。