订阅账号登录 ccch1mneyyy/dsh-auth

@deepseek-harness-tui/dsh-auth

为 dsh-TUI 和 DeepSeek Harness 提供订阅制 OAuth 登录

把你的 ChatGPT（Plus/Pro）、Claude（Pro/Max） 和 SuperGrok / X Premium 订阅当作模型服务商用——用官方账号登录，不需要 API key，也不用给 dsh 打源码补丁。这个插件和 dsh-TUI 同步开发（并打包进其中），dsh-TUI 是 DeepSeek Harness 的 Claude Code 风格终端入口；它也能独立安装进任意 dsh 配置档。

dsh-tui → /provider → 订阅账号登录（OAuth）→ sign in ← the TUI integration /auth login openai-codex ← the plugin command /model → OpenAI Codex → gpt-5.6-sol ← routes & models

状态：实验性（M1）。 OAuth 流程本身用的是 pi-ai 自带的实现（包含设备码和 loopback 回调）；这个插件补上的是托管部分：凭据存储、token 自动刷新、适配器注册，以及一套登录界面。
登录界面架在 userQuestions 接缝上，在 TUI 和 web 客户端里都能用，在无头主机上会干净地拒绝。

安装

配合 dsh-TUI —— 什么都不用做：dsh-auth 随 dsh-tui 包一起发布（打包依赖）。更新 dsh-tui， /provider 向导就会自动多出订阅登录分支。

独立安装进任意 dsh 配置档：

dsh plugin --profile <name> add @deepseek-harness-tui/dsh-auth

然后重启宿主；/ 会列出 auth，每个模型选择器都会多出已登录服务商的目录（受凭据门控——见下文）。

它做什么

- 把 pi-ai 目录里自带 OAuth 流程的服务商挂成 llm 注册表路由：openai-codex、anthropic、xai。
只有该服务商登录之后，模型才会出现在选择器里（受凭据门控的列表）——登录，目录就出现；登出，目录就消失；会话里已经保存的模型 id 两种情况都仍可解析。
- 这些 Provider 对象从已安装的 dsh-llm-pi-ai 所拥有的那个 pi-ai 依赖里加载，版本完全一致。
这样 rc 和 alpha 宿主就能保住各自支持的 pi-ai 版本，不用跨包实例传 Provider 对象。
- /auth login [provider] 交互式跑该服务商的 OAuth 流程。等待面板的行为和 pi 宿主一样：授权 URL 会自动在你的浏览器里打开（绝不手动复制——URL 有几百个字符，换行产生的残片会破坏它的 redirect_uri），面板提供 Copy authorization link / Open browser again / Cancel sign-in。设备码流程会打开验证页面，并把短码作为复制目标。OpenAI Codex 还提供设备码登录方式——在无头或受限机器上这是最稳的路径（不需要 localhost:1455 回调）。
- 存储的访问 token 会在每次请求前自动刷新，按服务商在凭据存储的锁下串行执行——并发请求绝不会对已轮换的 token 重复刷新。
- /auth status / /auth logout <provider>；ctx.dshAuth 服务向 UI 暴露同一套 api（dsh-tui 的 /provider 向导和 /login 都依赖它）。

用法

/auth # status: which providers are signed in
/auth login # pick a provider interactively
/auth login openai-codex # ChatGPT (Plus/Pro)
/auth login anthropic # Claude (Pro/Max)
/auth login xai # SuperGrok / X Premium
/auth logout anthropic

对未登录的服务商发起模型请求会直接报错，并提示 /auth login <provider>——绝不静默失败。

配置

- id: dsh-auth
name: '@deepseek-harness-tui/dsh-auth'
config:
providers: [openai-codex, anthropic, xai] # any non-empty subset
credentialsFile: /secure/path/credentials.json

- credentialsFile 默认为 $DSH_HOME/dsh-auth/credentials.json（~/.dsh/dsh-auth/credentials.json），可用环境变量 DSH_AUTH_CREDENTIALS 覆盖。目录创建为 0700，文件创建为 0600（Windows 上尽力而为），每次写入都是原子的（临时文件 + rename）。
- 若某条路由已被其他适配器家族占用——例如某个 llm-pi-ai 设置配置档指定了同一服务商——注册表会拒绝该路由；插件记录拒绝信息并挂载其余路由。同一服务商只保留在一个适配器上。

安全说明

- 凭据文件保存的是长期有效的 refresh token。它绝不写入日志，绝不通过状态界面回显（/auth status 只显示过期元数据），文件损坏时直接报错，而不是被覆盖。
- 密钥输入提示会警告：此界面上的终端输入不会做掩码。
- 未注册任何交互界面时，登录会拒绝运行（不假设有浏览器/GUI——远程和无头主机会得到明确错误，遵循生态规范的远程确定性规则 TUI-RUN-001）。
- 订阅认证和 API-key 访问是两种不同的产品：本插件只使用各服务商的订阅后端（OpenAI 用 ChatGPT Codex 后端，Anthropic 用 Claude Pro/Max），不会把订阅变成通用 API 凭据。

开发

pnpm install
pnpm verify # build + headless smoke (credential store, refresh
serialization, prompt bridging, gating, service api)

冒烟测试套件无需 cordis 或 harness 即可运行：直接测试纯模块。真正的端到端登录需要交互式宿主（dsh-tui），每次发布时手动验证。插件在 dsh-TUI 仓库中作为 dsh-auth/ 子模块开发，并镜像到本仓库。

路线图

- M2 （已完成）——dsh-tui 集成：/provider OAuth 分支、/login
- M2 — 账号区块，两级 /model 选择器，带一个置顶的最近使用分组。
- M3 — dsh-ecosystem-spec 一致性（清单校验、准入测试夹具），再加上其余 pi-ai OAuth 服务商（GitHub Copilot、OpenRouter、Kimi）；社区列表条目。
- M4 — Gemini：自定义 Google 设备码流程（pi-ai 没有自带；这是本项目计划自己造的唯一一个轮子）。

许可证

MIT