feat(dnfs): 特殊节点类型由网页代码(html)改为JS代码(js)

将 _sp 标识从 html 改为 js，运行方式由新窗口 document.write 改为
插入页面 iframe 沙箱执行，捕获 console 输出，postMessage 自适应高度。
后端 dnfs.py 白名单、校验、审核文本同步更新。

static/public/css/theme.css

@@ -526,6 +526,14 @@ input[type="button"]:disabled {
     word-break: break-all;
 }
 .sp-image { display: block; max-width: 100%; border-radius: var(--radius-sm); }
+.sp-run { margin-top: 0.5rem; }
+.sp-run-frame {
+    width: 100%;
+    height: 120px;
+    border: 1px solid var(--border);
+    border-radius: var(--radius-sm);
+    background: var(--bg);
+}
 .sp-note { font-size: 0.82rem; color: var(--fg-secondary); margin-top: 0.4rem; }
 #sp-panel { margin-top: 0.4rem; }
 #sp-panel select { margin-bottom: 0.4rem; }