账号工作台 fenglangyj/dsh-account-hub

DSH Account Hub

原生 DeepSeek Harness（dsh）账号工作台插件：每个自有账号使用独立、持久化的浏览器 profile。

每个账号对应一个 Camoufox profile 目录、一把跨进程锁和一份绑定当前 dsh 会话的浏览器租约。一个会话创建的账号浏览器不能被另一个会话抢占或关闭；关闭浏览器后登录状态保留。插件注册原生 dsh 工具和 /accounts 命令，直接复用宿主的 Agent、审批、后台任务与存储，不另建 UI、模型客户端、API 服务或调度器。

适用范围。 这是账号工作台，不是批量注册工具。自动化注册仅用于你自有或明确获授权的系统，而且只能由可信 dsh 配置启用。第三方站点采用人工登录与人工验证，不包含验证码求解、接码池、代理轮换或反检测规避能力。

功能

- 原生 dsh 插件 — Cordis bundle，包含 13 个工具和 /accounts，自动进入现有 Agent 与 PTC 工具集。
- 一账号一 profile — 稳定 UUID 映射独立目录，Cookie、存储和会话互不共享。
- 跨进程安全 — 每个 profile 使用 proper-lockfile 租约，并限制单会话同时打开的浏览器数量。
- 会话隔离 — 浏览器归属取自宿主提供的 dsh 会话，不接受工具参数指定。
- 持久登录 — 关闭浏览器保留 profile，重新打开恢复该账号的登录状态。
- 账号管理 — 创建、筛选、更新、汇总、导入导出元数据，并提示到期时间。
- 副作用前审批 — 打开浏览器和启动授权注册都需要 dsh 原生确认。
- 原生后台任务 — 注册作为 dsh job 运行，支持进度、取消和持久历史。
- 精确域名工作流 — 自有系统自动化只能访问配置过的精确 origin。
- 本地优先 — 无遥测、无云服务、无托管浏览器。

环境要求

| 组件 | 版本 / 说明 |
| dsh | 0.2.1-rc.3（开发者预览版，接口可能变化） |
| Node.js | >= 24.9 |
| pnpm | dsh plugin 安装插件时需要 |
| Camoufox | 首次启动由上游启动器下载，当前构建约 1.3 GB |

Camoufox 支持 Windows x64、macOS 和 Linux。本仓库的真实浏览器测试目前只在 Windows x64 上运行过；其他平台欢迎反馈结果。

安装

尚未发布到 npm，请从本地 checkout 安装：

git clone https://github.com/fenglangyj/dsh-account-hub.git dsh-account-hub
cd dsh-account-hub
npm ci --ignore-scripts
dsh plugin --profile web add "/absolute/path/to/dsh-account-hub" --ignore-scripts
dsh --profile web

请把路径替换为 checkout 的绝对路径（dsh 会在 profile 目录内调用 pnpm，相对路径不会按当前目录解析）。Windows PowerShell 示例：

dsh plugin --profile web add "E:\src\dsh-account-hub" --ignore-scripts

--ignore-scripts 是有意为之：本包直接提供 ESM，不需要安装期构建。add 会链接当前目录并把 bundle 写入 profile。确认插件层已加载：

dsh --profile web --dump-config

应能看到 # == dsh-account-hub 段。之后正常启动 dsh，让 Agent 调用账号工具，或在会话中使用 /accounts help。

卸载：

dsh plugin --profile web remove dsh-account-hub

如需分发压缩包，在仓库执行 npm pack，再运行 dsh plugin --profile web add ./dsh-account-hub-0.1.0-alpha.1.tgz。压缩包只含源码、bundle patch 和许可声明，不包含浏览器二进制或 profile。

首次使用

/accounts help
/accounts list

典型流程：

1. 添加平台工作区。account_platform_add 只能创建 manual 工作区；自动化工作流必须来自可信插件配置。
2. 用 account_create 创建账号，仅填写元数据，绝不传密码或 Cookie。
3. 用 account_browser_open 打开浏览器，在 dsh 确认后自行完成登录；验证码、短信验证等步骤由你手动处理。
4. 完成后执行 account_browser_close，profile 保留，下次打开继续使用。
5. 自有测试系统：配置工作流，用 /accounts credential <账号ID> <密码> 保存凭据，再调用 account_register。它会请求审批并以原生 dsh job 运行。

/accounts credential 使用 recordInput: false，命令原文不会进入会话历史；但值仍会写入 dsh 凭据提供方，默认本地提供方是明文存储，不是加密的系统钥匙串。请仅在可信设备上使用。

配置

插件行支持以下配置。可在 $DSH_HOME/profiles/<profile>/cordis.patch.yml 中按 id 覆盖；patch 会替换整个 config 对象。

- id: account-hub
config:
maxOpenBrowsers: 2 # 1..10，默认 3 logRetention: 1000 # 每张历史表 100..10000 条
platforms: []

托管平台

platforms 由 dsh 安装管理员配置：

- id: account-hub
config:
platforms:
- id: owned-stage
name: 自有测试系统 mode: owned loginUrl: http://127.0.0.1:4317/login signupUrl: http://127.0.0.1:4317/signup
origins: ['http://127.0.0.1:4317']
successSelector: '#welcome'
steps:
- { action: fill, selector: '#email', field: email }
- { action: fill, selector: '#password', field: credential }
- { action: click, selector: '#submit' }

- mode: manual 用于第三方站点：浏览器打开 loginUrl，登录由你完成。
- mode: owned 才会为自有或明确授权的测试系统启用 account_register。
- owned 必须提供 steps 和 successSelector；步骤仅支持针对配置选择器的 fill、click、wait。
- origins 必须是精确 origin。除回环地址（localhost、127.0.0.1、[::1]）的测试系统外必须使用 HTTPS。工作流越域会被拒绝。
- healthSelector 可选；account_browser_state 只报告它是否可见，不返回页面文本或 URL 查询串。

完整示例见 examples/owned-system.patch.yml。

工具

| 工具 | 用途 |
| account_platforms | 列出平台工作区 |
| account_platform_add | 添加人工登录工作区 |
| account_create | 创建元数据与独立 profile 标识 |
| account_list | 查询、筛选账号元数据 |
| account_update | 修改标签、邮箱、标记、状态或到期时间 |
| account_summary | 汇总数量、状态与到期提醒 |
| account_import | 导入版本 1 元数据，自动分配新 ID |
| account_export | 仅导出元数据 |
| account_browser_open | 审批后为当前会话打开浏览器 |
| account_browser_close | 关闭浏览器，保留 profile |
| account_browser_state | 报告 origin 和可选的可信健康标记 |
| account_register | 审批后以原生 job 运行自有系统工作流 |
| account_history | 读取当前会话的持久任务结果与安全步骤事件 |

工具不会返回 profile 或凭据，也不会把凭据写入任务输出或导出文件。

架构

src/index.js Cordis 插件：配置、工具、/accounts、生命周期 src/hub.js 会话归属、审批、原生 job、流程编排 src/browser.js profile 路径、租约、锁、容量、关闭/取消语义 src/camoufox.js Camoufox 持久上下文启动器 src/store.js 原生 storage-domain 表与保留策略 src/domain.js 输入校验、origin 策略、元数据模型 src/workflow.js 自有系统工作流与精确 origin 网络保护

- 账号元数据和历史存放在 account_hub storage domain。
- 凭据使用 dsh credentials 服务。
- 浏览器租约以宿主提供的 dsh 会话 ID 为键，绝不采用模型输入。
- profile 保存在 $DSH_HOME/account-hub/profiles/<account-uuid>。
- 插件不导出 Cookie 或 profile 压缩包。

测试

npm run check # src JSDoc 类型检查
npm test # 单元测试 + 原生 dsh 服务集成测试
npm run test:browser # 真实 Camoufox 隔离与持久化

npm test 使用真实 Cordis/storage/credentials/jobs 服务，覆盖 origin 策略、元数据、保留策略、锁、取消、审批拒绝、job 生命周期和凭据脱敏。npm run test:browser 启动本地测试站点，验证两个账号关闭重开后仍各自保持登录。首次运行会下载 Camoufox，因此不纳入 CI。

已知限制

- dsh 处于开发者预览期；本插件固定 dsh 0.2.1-rc.3，宿主接口变化时可能需要跟进。
- 账号通过 status: disabled 归档，插件不会删除账号或 profile 目录。
- 元数据按 dsh 进程缓存。多个会话编辑账号时建议每个 home 只运行一个 dsh 进程；浏览器 profile 本身有跨进程锁保护。
- 自有系统工作流允许同源 301/302/303 跳转（转为 GET），拒绝 307/308 和跨域跳转。它不是通用网络沙箱，只应用于你可控的系统。
- 不包含配额/订阅接口、Token 续期、定时健康检查、接码服务、验证码求解、代理轮换或批量注册。
- dsh 默认凭据提供方为明文。profile 隔离防止账号数据混淆，但不能防御恶意本地进程或已失陷的系统账户。
- Camoufox 会引入其自身的依赖许可。当前依赖树包含 ua-parser-js 2.x，上游提供 AGPL-3.0-or-later 或商业授权两种选择。再分发或托管前请阅读 THIRD_PARTY_NOTICES。

参与贡献

见 CONTRIBUTING.md。安全报告见 SECURITY.md。

许可证

本插件原创源码采用 MIT，另有说明的除外。第三方组件遵循各自许可，详见 THIRD_PARTY_NOTICES。这是独立社区插件，不是 DeepSeek 官方项目。