dsh-plugin-login-gate

为 DeepSeek Harness (dsh) Web UI 增加密码登录闸门 + HTTPS 反向代理的 Cordis 插件。

适用场景：dsh Web UI 默认无登录页（仅回环地址访问）。当你需要把 dsh 暴露给局域网 /
内网其他设备时，本插件在 dsh 前置一道登录，未授权设备无法使用 dsh。

特性

• 密码登录：单密码即可（单用户场景），密码文件明文存储、修改即时生效
• HTTPS 自签：自签证书加密传输，首次访问点一次「继续前往」即可（与常见 NAS 体验一致）
• http → https 自动跳转：直接输 IP:端口 也能打开
• 会话安全：httpOnly Cookie、浏览器会话级（关浏览器即失效）
• SSE / WebSocket 转发：dsh 的流式输出与实时能力不受影响
• 同端口双协议：一个端口同时处理 HTTP 跳转与 HTTPS
• 零 npm 运行时依赖（仅 peer 依赖 @deepseek-ai/cordis）

安装

1. 获取插件

# 方式 A：Git 克隆
git clone https://github.com/<你的用户名>/dsh-plugin-login-gate.git

# 方式 B：手动下载本仓库 zip 并解压

将插件目录放入 dsh 可访问的位置（如 dsh 安装目录、或任意本地目录）。

2. 注册到 profile

编辑 dsh profile 的 cordis.patch.yml（例如 ~/.dsh/profiles/web/cordis.patch.yml），
或全局用户层 ~/.dsh/cordis.patch.yml，追加：

- insert:
    - id: login-gate
      name: 'dsh-plugin-login-gate'
      config:
        port: 3081
        passwordFile: 'C:/dsh/login-gate/password.txt'
        certFile: 'C:/dsh/login-gate/cert.pem'
        keyFile: 'C:/dsh/login-gate/key.pem'
        assetsDir: 'C:/dsh/login-gate/assets'

若 dsh-plugin-login-gate 未安装到 dsh 能解析的 node_modules，可将 name
指向插件目录的绝对路径（如 name: 'C:/dsh/dsh-plugin-login-gate'）。

3. 生成证书（一次性）

用本机 openssl 生成自签证书（有效期 10 年，把 <你的局域网IP> 换成实际值）：

openssl req -x509 -newkey rsa:2048 \
  -keyout key.pem -out cert.pem -days 3650 -nodes \
  -subj "/CN=DeepSeek-Harness-Login" \
  -addext "subjectAltName=IP:127.0.0.1,DNS:localhost,IP:<你的局域网IP>"

4. 设置密码

创建密码文件，内容为你的登录密码（明文，改完即时生效）：

echo '你的密码' > C:/dsh/login-gate/password.txt

5. （可选）自定义素材

插件包内已内置默认素材——assets/logo.svg（dsh 官方鲸鱼图标）和
assets/bg.jpg（晨雾山景背景图），开箱即有完整美观度。

如需替换：在 cordis.patch.yml 的插件行 config 中设置 assetsDir
指向你的自定义目录（直接放 logo.svg / bg.jpg，无需 assets/
子目录，文件名匹配即可）。示例：

config:
  assetsDir: 'C:/dsh/login-gate-custom'   # 内含 logo.svg、bg.jpg 即可

替换优先级：自定义目录 > 包内默认。

6. 重启 dsh

重启 dsh Web UI 后，插件随 dsh 启动。浏览器访问：

http://<你的局域网IP>:<port>    → 自动跳转 https
https://<你的局域网IP>:<port>   → 登录页

首次访问自签证书浏览器会提示「连接不是私密连接」，点「高级 → 继续前往」即可，
之后该地址不再提示（每台设备首次各点一次）。

安装常见问题

node-pty 构建脚本被 pnpm 默认拦截（build scripts are blocked）

安装依赖 node-pty（dsh 终端能力）的插件时，pnpm v10+ 默认不执行 build scripts，
安装会报「构建脚本被 pnpm 默认拦截（node-pty）」。在 dsh profile 目录下
（如 ~/.dsh/profiles/web/）的 pnpm-workspace.yaml 里放行即可：

allowBuilds:
  node-pty: true

之后重新运行安装（或点击插件商店的「Allow build scripts and retry」）即可通过。
其它原生依赖被拦时同理，把包名加进 allowBuilds。

配置项

键	必填	默认	说明
host	否	0.0.0.0	监听地址
port	否	3081	监听端口（登录闸门入口）
targetHost	否	127.0.0.1	转发目标（dsh 所在地址）
targetPort	否	3080	转发目标端口（dsh Web UI 端口）
passwordFile	是	-	密码文件路径（明文）
certFile	是	-	TLS 证书 PEM 路径
keyFile	是	-	TLS 私钥 PEM 路径
assetsDir	否	包内 assets/	登录页素材目录（bg.jpg / logo.svg）
maxSessions	否	64	最大并发登录会话数（多端场景）
lanPatch	否	false	局域网跨设备访问修复开关（仅浏览器侧）。开启后会在 dsh 的 dsh-client-connection 里，把客户端派生的 connection.isLoopback 状态对私有网段也判为 true，让设置页在局域网下可用；只改这一处、不动 isLoopbackHostname() 函数，因此不影响服务端 /api 信任围栏。dsh 更新/重装后需重打补丁（见下文）。默认关闭 = 不改动 dsh 宿主文件。

配置缺失或文件不存在时，插件仅记录警告并跳过启动，不影响 dsh 本体。

本插件与 dsh 自身 webserver（默认 127.0.0.1:3080）是两回事：插件作为
对外入口（如 3081），dsh 本体保持仅本机可访问。建议 dsh 的 webserver.host
保持 127.0.0.1，不要暴露到局域网，由本插件统一对外。

安全说明

• 密码明文存储于你指定的本地文件，请确保该文件仅你可读写（单用户个人工具设计）。
• 使用自签证书时，密码在传输中加密；但自签 CA 不被浏览器信任，请勿将该入口暴露到
  公网。仅限受信任的局域网/内网（VPN）环境使用。
• 会话为内存存储：dsh 重启后所有设备需重新登录。

局域网跨设备访问（LAN）修复说明

把 dsh 暴露给局域网 / 内网其他设备时，会出现两类与「跨设备访问」直接相关的 BUG。
本插件对两类都做了处理：服务端在代理层修，浏览器侧在启动时自动打补丁。

BUG 1：模型配置页报 HTTP 403（transport failure for /api/settings.describe）

• 根因：dsh 对 settings.describe 等特权接口按请求头 Host / Origin
  做信任判定，只接受回环（loopback）或 --trusted-host 指定的 authority。
  反向代理把请求转发到 127.0.0.1:3080 时，若 Host / Origin 仍带着局域网
  地址（如 192.168.x.x:3081），就会被信任围栏拒绝，返回 403。
  注意 --trusted-host 只覆盖「trusted-host 类」接口，无法覆盖「loopback 类」
  接口，所以光加 trusted-host 不够。
• 修复（本插件已在代理层处理）：见 lib/index.js 的 rewriteLoopbackAuthority()，
  在把请求（含 WebSocket 升级）转发给 dsh 之前，把 Host / Origin 重写为目标
  回环地址（127.0.0.1:3080）。你无需手动处理。

BUG 2：设置 / 模型配置页报 settings are unavailable in this browser

• 根因：这是纯前端判定，与上面的 403 是两回事。浏览器端
  dsh-client-connection 的 isLoopbackHostname() 只认 localhost / 127.x；
  connection.isLoopback 由页面 location.hostname 算出。经局域网 IP 访问时
  isLoopback=false → 设置镜像 persistence="memory" → 永不发起 settings.describe
  → 抛该错。

• 修复（需开启 lanPatch，本插件在启动时自动打浏览器侧补丁）：

  该浏览器侧补丁默认不启用（lanPatch: false）。只有局域网设备需要打开设置页时，
  才在插件行 config 设 lanPatch: true；未开启时 dsh 内部文件原样不动（更安全）。

  补丁只改一处，且刻意不动 isLoopbackHostname() 函数本体：

  dsh-client-connection/lib/client.js 里派生的 connection.isLoopback 状态，
  原本是 pageLocation === void 0 || isLoopbackHostname(pageLocation.hostname)，
  补丁在其后追加一段私有网段判定（10/8、172.16/12、192.168/16、169.254/16）：
  局域网 IP 访问时 isLoopback 也判为 true → 设置镜像改用 host 持久化、正常加载。

  为什么不动 isLoopbackHostname() 函数？该函数同时被服务端 /api 信任围栏
  （api-request-trust.ts）使用；若在此处放宽，等于把整个局域网当成回环可信，
  特权接口在 LAN 下无需 --trusted-host 即达，扩大信任边界。只改客户端派生状态，
  信任围栏仍只认真正的回环 / trusted-host，既修好设置页又不引入该副作用。

• 补丁是侵入式的，改在 dsh 自家 node_modules 内部文件里：

  ⚠️ dsh 一旦更新 / 重装，这些补丁会失效，设置页会再次报 BUG 2。
  因此本插件在 apply() 启动时（最佳努力、幂等）自动重打；
  若自动探测未命中，或你想手动确认，在 dsh 更新后执行一次即可：

  # 自动探测 dsh 安装目录（从 cwd / 插件位置向上回溯）
  node node_modules/dsh-plugin-login-gate/patch-dsh-lan.js
  
  # 或显式指定 dsh 根目录（最稳妥）
  node node_modules/dsh-plugin-login-gate/patch-dsh-lan.js C:/AI/deepseek-dsh
  # 等价写法：
  #   DSH_ROOT=C:/AI/deepseek-dsh node node_modules/dsh-plugin-login-gate/patch-dsh-lan.js
  

  脚本特性：幂等（已打过则跳过）、不写死任何 IP / 密码、匹配不到模式就不动文件、
  打前自动留 .lanpatch.bak 备份。

BUG 3：跨设备会话列表 / 实时事件流为空（WebSocket 握手失败）

• 根因：作为反向代理转发 WebSocket 升级时，Upgrade / Connection 属 hop-by-hop
  头被剥掉且未补回，而 RFC 6455 要求 101 响应必须携带这两个头 → 浏览器端握手校验
  失败（控制台报 WebSocket is closed before the connection is established），
  dsh 事件流（/api/events.mux / /api/events.host，承载会话列表等实时数据）跨设备
  无法建立 → 工作区对话任务 / 会话历史只在本机显示。
• 修复：转发 101 响应前补回 Upgrade: websocket 与 Connection: Upgrade。
• 关联：旧版网关给转发请求设了 30s idle 超时，会误杀空闲的长连接
  （如 /plugins/events 热重载 SSE，客户端报 ERR_INCOMPLETE_CHUNKED_ENCODING），
  现已移除；普通 API 请求由客户端超时兜底。

验证（每次更新 dsh 后建议跑一遍）

# 1) 局域网设备登录后应能打开设置页，不再报 403 / unavailable
# 2) 用 node 直连验证 settings.describe 返回 200：
node -e "const https=require('https');https.get('https://127.0.0.1:3080/api/settings.describe',{rejectUnauthorized:false},r=>{console.log('status',r.statusCode);r.destroy();}).on('error',e=>console.log('err',e.message))"
# 3) 浏览器硬刷新（Ctrl+F5）以加载打了补丁的新 client 模块

完整排查 / 快速修复手册见仓库同级的 dsh-局域网跨设备访问修复手册.md
（本地留存文档，不含任何本机 IP / 密码）。

已知限制

• 单密码、无多用户体系（个人工具定位）。
• 无登录失败锁定（如需防暴力破解，可自行在反向代理前加防火墙/限流）。
• 自签证书 10 年有效期，到期需重新生成并更新配置。

Changelog

• v0.2.2 — LAN 浏览器侧补丁收敛为单一精准补丁：仅把客户端 connection.isLoopback 状态对私有网段判为 true（让设置页在局域网下持久化可用），不再修改 isLoopbackHostname() 函数，避免波及服务端 /api 信任围栏（此前放宽该函数会把整个局域网当回环可信）。移除了旧版对 dsh-client-ui-settings 的冗余补丁（该包新版已重构为纯 UI 壳、目标字符串消失）。旧版函数级放宽残留会自动回滚迁移。
• v0.2.1 — lanPatch 默认改为 false（显式开启）。未配置 = 不改动 dsh 宿主文件；开启后才会就地修补 dsh 内部包让设置页在局域网下可用，dsh 更新/重装后需重打补丁（见「局域网跨设备访问修复说明」）。
• v0.2.0 — 修复跨设备访问的两类问题：WebSocket 101 响应补回 Upgrade / Connection 头（BUG 3，事件流 / 会话列表跨设备可见）；移除转发请求 30s idle 超时（避免误杀 /plugins/events 等长连接）。新增 pnpm allowBuilds 放行 node-pty 的安装说明。
• v0.1.0 — 初始版本：密码登录闸门 + HTTPS 自签反向代理、http→https 跳转、SSE / WebSocket 转发、浏览器侧 LAN 补丁（修复设置页 403 / settings are unavailable）。

License

MIT