网页登录门禁 KagurazakaNyaa/dsh-web-login

@kagurazakanyaa/dsh-web-login

简体中文版（与英文版内容一致）

给 DeepSeek Harness 网页界面添加用户名 / 密码登录，便于把实例公开到局域网访问。

这是什么

本插件只做准入控制（admission control）：

* 不绑定端口 —— 局域网绑定请用 dsh-web-lan-access；
* 不接管 /api 的 Origin/Host 信任栅栏 —— 同样交给 lan-access；
* 不安装或管理 systemd —— 那属于部署环境配置，参考 systemd/ 手动完成。

行为：当浏览器没有带 ?token=… 时，把它重定向到登录页，让用户输入配置好的用户名/密码登录，然后签发给它一个与原生 token 登录完全相同的持久 cookie。

为什么能摆脱 token

DSH 每次启动的 launch token 只是一把一次性的钥匙，用来换取一个签名的 browser-session cookie。而 cookie 的签名密钥是持久化的，存放在 $DSH_HOME/.credentials.yaml 的 client-connection/browser-session 里，重启不变。

所以本插件直接用这个持久密钥签发同构 cookie —— 登录一次即可长期保持，不再依赖每次启动的 token。

安装

dsh plugin --profile web add @kagurazakanyaa/dsh-web-login

也可以直接从 GitHub 源码装（不走 npm）：

dsh plugin --profile web add github:KagurazakaNyaa/dsh-web-login

安装后重启 dsh。

配置凭据

方式 A：环境变量

export DSH_WEB_LOGIN_USER=admin
export DSH_WEB_LOGIN_PASSWORD='你的强密码'

方式 B：凭据文件（仅存 scrypt 哈希）

node scripts/set-login.mjs --user admin --password '你的强密码'
写入 $DSH_HOME/web-login.json，权限 0600

局域网暴露

配合 lan-access：

dsh plugin --profile web add dsh-web-lan-access

然后访问 http://<局域网IP>:3080/，看到登录页即表示工作正常。

systemd

cp systemd/dsh-web.service ~/.config/systemd/user/
编辑 Environment= 里的密码 loginctl enable-linger "$USER"
systemctl --user daemon-reload
systemctl --user enable --now dsh-web.service

配置项

- id: web-login
name: '@kagurazakanyaa/dsh-web-login'
config:
cookieMaxAgeDays: 30
loginPath: ''
enabled: true

反向代理（nginx）

DSH 的 /api 有一道信任栅栏：请求的 Host 必须与浏览器发出的 Origin 一致，否则一律 403。
登录成功但"所有接口都 403"，几乎都是反代把 Host 改写成 localhost / 127.0.0.1 造成的 ——浏览器发的是 Origin: https://你的域名，而 DSH 收到的 Host 是 localhost，两者不匹配。

反代必须原样透传 Host：

location / {
proxy_pass http://localhost:3080/;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection $connection_upgrade;
proxy_set_header Host $host; # 关键：不要写成 localhost proxy_set_header X-Forwarded-Proto $scheme; # 供 Secure Cookie 判断 proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_read_timeout 3600; }

同时启动 dsh 时要声明这个域名，让栅栏放行：

dsh web --port 3080 --trusted-host 你的域名

X-Forwarded-Proto: https 存在时，登录 Cookie 会自动带上 Secure 属性。

更省事的做法是配好 map $http_upgrade $connection_upgrade，WebSocket（/api/remote.mux）才能升级成功。

安全提醒

* 无 TLS，明文 HTTP 可被嗅探；仅用于可信网络，建议加防火墙或走 Tailscale / 反代。
* 有 150ms 固定延迟缓解暴力破解，但无账号锁定，请用强密码。
* 能登录 UI 等于能操作这台机器的 shell，请注意暴露范围。

License

AGPL-3.0-or-later