shim-cli 的遮蔽规则依赖模式匹配，存在误伤和漏网风险：过度遮蔽会使模型丢失关键上下文，配置不足则敏感信息可能外流。