feat: harden registry v2 index contract

原文片段

摘要 本 PR 加固 dsh-plugin-registry/v2 的索引契约、输入边界和确定性生成规则，并补充正式的索引 JSON Schema。目标是让中央仓库与只读客户端对畸形、重复、超限或不可信索引统一 fail-closed，避免把“索引不可验证”误报为“名称可用”。本 PR 不新增任何正式插件登记。