华为云模型接入 Alanine-gH/dsh-huaweicloud-connect

dsh-huaweicloud-connect

把华为云 CodeArts（码道） 与 OfficeAce（果办） 桌面客户端里已经登录的模型接入 DeepSeek Harness。

设计思路与 dsh-workbuddy-connect 一致：复用客户端自己的登录态，不做额外 OAuth，不读取、不保存用户口令。

- OfficeAce 分组：直连华为云模型网关（21 个模型，含 DeepSeek-V4 / GLM-5.x / Kimi / Pangu / Qwen）
- CodeArts 分组：直连 snap-access 网关，走 APIG SDK-HMAC-SHA256 签名。
支持官方 CLI 授权（IAM 长期 AK/SK），配好之后永不过期、也不依赖客户端在跑

状态：两端均已端到端实测通过。
- OfficeAce：真实请求拿到 21 个模型，并完成一次真实流式对话（模型回复正常）。
- CodeArts：CLI 授权（长期 AK/SK）下，模型目录 9 个、真实对话 finish_reason: stop 且正文正常。

CodeArts 有两个实测坑，见下文「CodeArts 授权：为什么优先用 CLI」。

CodeArts 授权：为什么优先用 CLI

插件支持两种凭据，实测能力不一样：

| 凭据 | 是否签 maas_type: benefit | 对话结果 |
| 客户端登录态（临时 STS，约 1 小时） | 是 | benefit not found |
| 客户端登录态（临时 STS） | 否 | TM.00001041 |
| IAM 长期 AK/SK（CLI 授权） | 是 | benefit not found |
| IAM 长期 AK/SK（CLI 授权） | 否 | ✅ 正常返回正文 |

两条结论：

1. maas_type: benefit 是「免费权益通道」的声明头。 该通道不可用时，任何带它的请求都回 InferHub.4004.200 benefit not found —— 即使 HTTP 状态是 200（错误藏在 SSE 首帧里）。
所以本插件只在 STS 模式下签它，AK/SK 模式不签。
2. CLI 授权是更优路径：永不过期，且不需要 CodeArts Agent 在运行。

配置方式二选一（改完重启 DSH）：

方式一：环境变量（官方推荐，暴露面最小） $env:CODEARTS_CLI_AK = "<Access Key Id>" $env:CODEARTS_CLI_SK = "<Secret Access Key>"

方式二：把华为云 IAM 控制台导出的 credentials.csv 放到 ~/.dsh/.huaweicloud-connect/credentials.csv（建议把 ACL 收到仅当前用户）。

- 创建 AK/SK：https://console.huaweicloud.com/iam/#/mine/accessKey
- CLI 授权指导：https://support.huaweicloud.com/usermanual-cli/codeartsagent_cli_0026.html

未配置时插件会回落到客户端登录态，功能不受影响，只是需要每小时续期。

为什么不是「填 API Key」

两个产品的鉴权都不是普通 Bearer：

| 产品 | 鉴权 | 说明 |
| OfficeAce | Authorization: Basic base64(app_key:app_secret) | APIG「APP 认证」，值已存在于本地明文文件 |
| CodeArts | Authorization: SDK-HMAC-SHA256 Access=…, SignedHeaders=…, Signature=… | 需 AK/SK（+ 可选 X-Security-Token）现算签名 |

所以插件用「回环 shim」结构：对 pi-ai 暴露一个标准 OpenAI endpoint，把签名/自定义头收在 shim 内部。

PiAiAdapter(pi-ai) ↔ 127.0.0.1 回环 shim(OpenAI 兼容) ↔ 华为云私有 HTTP

安装

前置：CodeArts 需配置 CLI 授权（长期 AK/SK）或登录过 CodeArts Agent； OfficeAce 需登录过客户端至少一次。详见上面「CodeArts 授权：为什么优先用 CLI」。

推荐：从 npm 安装

装最新版
dsh plugin --profile desktop add dsh-huaweicloud-connect@latest

或锁定具体版本（把 <version> 换成你想要的版本号）
dsh plugin --profile desktop add dsh-huaweicloud-connect@<version>

装完完全退出并重启 DeepSeek Harness 桌面版（Host 插件在启动时加载）。

这里刻意不写死版本号：写死过一次，发版时忘了同步，导致 README 一直指向旧版本。
需要具体版本时看 npm 版本列表。

备用：从 GitHub Release 安装

跟随仓库最新 tag
dsh plugin --profile desktop add github:Alanine-gH/dsh-huaweicloud-connect

或锁定 tag（把 <tag> 换成 v0.8.0 这样的具体标签）
dsh plugin --profile desktop add github:Alanine-gH/dsh-huaweicloud-connect#<tag>

GitHub 需要能访问。 如果你的机器连不上 github.com（常见于国内网络），给 git 配一个代理即可，pnpm 解析 GitHub 源时会用上：

git config --global http.proxy 127.0.0.1:<你的代理端口>

备用：仓库里的安装脚本

powershell
pwsh -NoProfile -ExecutionPolicy Bypass -File scripts\install.ps1

脚本做三件事：把插件拷到 <profile>/node_modules/；从已有的 pi-ai 副本拷一份到插件自己的 node_modules（隔离，不动顶层包版本）；幂等更新 package.json 的 dependencies 与 dsh.profile.bundles。跑完会自检 BOM 并 fail fast。

版本兼容范围

声明了 engines.dsh：>=0.2.1-rc.2 <0.3.0-0，即 DSH 0.2.1 整个系列（含 rc.2 / rc.3 及后续 0.2.x）。0.2.0 及更早、0.3.0 及更晚都会被兼容门禁拒绝。

理由不是猜的：rc.2 → rc.3 里本插件用到的四个包（dsh-llm、dsh-llm-pi-ai、dsh-home-paths、dsh-client-ui-renderer/dsh-client-locale）逐个文件 SHA-256 相同，唯一差异是 package.json 里的版本号本身。早先版本把 peer 钉成精确 0.2.1-rc.2，在 DSH 升到 rc.3 后就被判不兼容（reasonIncompatibleVersion）——那是一次误报。

使用

重启后，模型选择器会出现两个新分组：

- OfficeAce — 21 个模型
- CodeArts — 7 个模型（含实测验证过的 deepseek-v4.1-flash）

选一个模型直接对话即可。分组在没有可用登录态时会被隐藏（与 workbuddy 插件行为一致）。

诊断 powershell

两个产品一起看

node "<profile>\node_modules\dsh-huaweicloud-connect\lib\bin.js" status

机器可读

node ... status --json

只看一个

node ... status --provider officeace

status 只发幂等 GET 拉模型目录，不发对话请求、不刷新登录态。

两个刻意为之的设计

1. 绝不刷新登录态

两个产品的 refresh_token 都是一次性轮换的：

- OfficeAce：插件若自行续期会与客户端抢，触发 STS5.1806 把用户登出
- CodeArts：refresh_token 绑定 client_id=codearts-agent 且需要 DPoP 私钥（在客户端手里）

所以本插件只读凭据、只检查 expiresAt：

- OfficeAce：凭据不带过期时间，直接用
- CodeArts：STS 约 1 小时有效；过期时分组隐藏，并提示「打开 CodeArts Agent 让它自动续期」

2. 不给模型编造推理档位

上游没有稳定声明「哪些 reasoning_effort 真正生效」，而现有观测表明部分模型会接受但忽略未知档位——一次 200 不能证明该档位可用。所以插件对全部模型都声明 reasoning: false，不提供档位选择。这比给一个假的档位列表更诚实。

已知限制

- CodeArts 的模型目录不能信接口返回：这是实测踩到的坑。/v1/model/builtin 返回的 7 个模型全部不能用于对话（逐个发真实请求，一律返回 InferHub.4005.200 unsupported model）；IDE 下发的 inferhub-provider 只有 5 个，同样不含任何可用模型。真正可用的是客户端 model-cache-hook 记录过的那批，其中 deepseek-v4.1-flash 已实测确认可用。本插件因此把 /v1/model/builtin 只当探针（验证凭据与签名是否正常），可选模型另用实测集。
- TM.00001041「并发会话数已达上限(3个)」这个文案是错的：它不是真实并发会话占满。2026-10-26 实测：串行单请求、间隔 5~8 秒、客户端进程数为 0，照样复现；且同一 token 同一模型下 benefit not found(200) 与 TM.00001041(400) 会交替出现，请求耗时始终 120~190ms。它是网关侧节奏/配额限流，插件按 429 处理并自动退避重试，不再触发模型熔断。（历史提示「关掉客户端即可」是错的，已删除。）
- CodeArts 需要客户端在跑 —— 仅限 STS 模式。改用 CLI 授权（长期 AK/SK）后不再需要。
- OfficeAce 的 models.json 只在客户端跑过一次后落盘：全新安装且从未登录时分组不显示。
- 上下文窗口是内置快照：两个上游的模型列表接口都不返回 context window，用的是客户端内置元数据表（见 lib/drivers/*.js 里的 CONTEXT_WINDOWS）。上游上架新模型时会退回保守默认值。
- 模型目录是全量目录：能列出来 ≠ 当前账号有权限。没有权限的模型会返回 ModelArts.81004/81009；CodeArts 还会出现「目录 9 个模型、但每个对话都回 benefit not found」的情况（权益未开通）。
- 与 deepseek-harness-codearts 的关系：npm 上存在一个独立插件 deepseek-harness-codearts，它自己完成 CodeArts 的 OAuth 登录（不读桌面凭据）。两者可以共存（provider id 不同：本插件是 huaweicloud-codearts，它是 codearts），但会看到两个 CodeArts 分组。

目录结构

lib/
├── index.js Host 插件入口：provider 注册、catalog、轮询 ├── client.js Web 半边：设置界面（plugins.bundle.config slot） ├── web.js 同源只读 status / 写 visibility 路由 ├── visibility.js 模型显隐存储（按账号分桶） ├── reasoning.js 推理档位探测 + 缓存 ├── shim.js 回环 OpenAI 兼容 shim（四道闸 + 请求归一化 + SSE 兜底） ├── credentials.js 登录态复用：定位 → 分类 → 副本 → 刷新 → 降级 ├── apig-sign.js 华为 APIG SDK-HMAC-SHA256 签名器（纯函数） ├── bin.js 诊断命令行：status / doctor / logout └── drivers/ ├── officeace.js Basic 头 + models.json 凭据 └── codearts.js AK/SK 签名 + state.vscdb 凭据

test/
├── selftest.mjs 离线自测（21 项：签名 / 归一化 / 凭据 / shim / 串行闸） ├── sign-selftest.mjs 签名专项（25 项） ├── web-selftest.mjs status / visibility 路由（34 项） ├── client-selftest.mjs 客户端模块契约（33 项） ├── reasoning-selftest.mjs 推理档位探测（40 项） ├── live-probe.mjs 真实只读探测（只发 GET /models） └── host/ 测试台用的离线替身（dsh-llm / dsh-llm-pi-ai / schemastery）

scripts/install.ps1 绕开 pnpm 的安装脚本

自测（全部离线，不需要 DSH 也不需要网络）： powershell
npm test # 153/153（五套串跑）
node test\live-probe.mjs # 会访问真实上游，只发 GET

环境变量

| 变量 | 作用 |
| HUAWEI_OFFICEACE_AUTH_FILE | 显式指定 OfficeAce 的 models.json 路径 |
| HUAWEI_CODEARTS_AUTH_FILE | 显式指定 CodeArts 的 state.vscdb 路径 |
| HUAWEICLOUD_PI_AI_SOURCE | 安装脚本用：指定含 @earendil-works/pi-ai 的 node_modules 目录 |

免责声明

- 本项目仅供个人学习与研究，只驱动使用者自己的账号在本机调用。
- 依赖两个客户端未公开的内部接口，客户端更新后可能需要调整。
- 使用需遵守华为云相应服务条款；因使用本项目产生的任何后果由使用者自行承担。
- 与华为云无关联，未获其授权或认可；文中名称仅用于描述兼容关系，商标权归各自所有。

许可证

MIT