容器化部署 Sovea/deepseek-harness-docker

dsh-docker

一个用于 DeepSeek Harness 的最小化 Docker 部署方案。

这是一个非官方的社区项目。DeepSeek Harness 目前处于开发者预览阶段，因此上游的变更可能需要更新镜像。
本项目遵循上游的 DeepSeek Harness 品牌使用指南。

功能特性

- 以非 root 用户运行，并在容器重建后持久化 Harness 状态。
- 将可配置的主机目录挂载为工作区根目录。
- 在 Linux 上匹配主机的 UID/GID，以保留工作区文件的所有权。
- 通过 DSH_TRUSTED_HOSTS 支持额外的受信任浏览器来源。
- 可选地通过带身份验证的远程访问层启用完整的 Web UI。
- 默认将服务发布到主机回环地址，并包含健康检查和自动重启处理。

环境要求

- Docker Engine
- Docker Compose v2

使用方法

cp .env.example .env

在 Docker Desktop 上：

docker compose up --detach --build

在 Linux 上，传入你的主机身份信息，以便在绑定挂载的工作区中创建的文件仍然可访问：

DSH_UID="$(id -u)" DSH_GID="$(id -g)" \
docker compose up --detach --build

打开 ，然后在 /home/node/workspaces 下选择一个工作区。默认情况下，本地的 ./workspaces 目录会挂载到该位置。

在 Web UI 中配置模型提供商，或在 .env 中设置可选的提供商变量。

常用命令：

docker compose logs --follow dsh # 跟踪服务日志
docker compose down # 停止但不删除状态
./scripts/smoke-test.sh # 运行端到端冒烟测试

配置

.env 中的主要设置如下：

| 变量 | 用途 | 默认值 |
| DSH_HOST_PORT | 主机回环端口 | 3080 |
| DSH_WORKSPACES | 挂载为工作区根目录的主机目录 | ./workspaces |
| DSH_TRUSTED_HOSTS | dsh 接受的额外浏览器来源 | 空 |
| DSH_ALLOW_REMOTE_ACCESS | 允许受信任主机使用所有 dsh API | 0 |
| DSH_UID, DSH_GID | 容器用户和组 ID | 1000 |
| DEEPSEEK_API_KEY | 可选的提供商 API 密钥 | 空 |

DSH_TRUSTED_HOSTS 接受以逗号分隔的 host 或 host:port 值。不要包含协议、路径或通配符。它仅控制 dsh 的主机/来源检查，并不是一种身份验证机制。

若要使用完整的远程 Web UI，请设置 DSH_ALLOW_REMOTE_ACCESS=1，并至少配置一个受信任主机。这会授予已通过身份验证的用户对 dsh 的完全控制权，包括设置和凭据。请仅在带身份验证的 HTTPS 访问层之后启用它。

该服务默认绑定到 127.0.0.1。若要在远程 Docker 主机上使用它，请通过 SSH 转发端口：

ssh -N -L 3080:127.0.0.1:3080 user@your-server

在通过任何其他访问层暴露该服务之前，请参阅 SECURITY.md。

许可证麻省理工学院。DeepSeek Harness 由其上游项目单独授权。