私有网页部署套件 kryzhukov/dsh-web-deploy

DSH Web — 私有部署

在 Windows 上恢复 DeepSeek Harness 网页访问的一套组件：

- DSH 前置 Basic 认证（网关监听 127.0.0.1:3099）；
- 登录 Windows 后自动启动（DSH + 网关 + portproxy）；
- 俄语界面（语言包 dsh-locale-ru）；
- 通过反向代理（OpenResty/nginx）在 :3080 上对外提供 HTTPS。

仓库里没有任何真实密码、API 密钥和 token。
web-auth-proxy.auth.json、.credentials.yaml、web-auth-proxy.secret 和日志都已通过 .gitignore 排除。示例中使用 admin / change-me —— 安装后务必修改密码。

架构

浏览器 -> https://<你的域名> (TLS, OpenResty/nginx) -> http://<LAN-IP>:3080 -> netsh portproxy 0.0.0.0:3080 -> 127.0.0.1:3099 -> web-auth-proxy.cjs (HTTP Basic，俄语错误页) -> http://127.0.0.1:3081 (DSH Web)

DSH 需要一次性 launch-token，它只在启动时打印。网关不把它暴露到外部：网关用 %USERPROFILE%\.dsh\.credentials.yaml 里的长期密钥（client-connection/browser-session）给 DSH cookie 签名。因此重启 DSH 不会破坏登录，浏览器只会看到网关的 Basic 认证。

仓库内容

| 路径 | 用途 |
| deploy/web-auth-proxy.cjs | Basic 网关：HTTP + WebSocket，给 DSH cookie 签名 |
| deploy/web-auth-supervisor.ps1 | 守护进程：DSH、网关、portproxy |
| deploy/set-password.ps1 | 修改登录名/密码（scrypt，无需重启） |
| deploy/hash-password.cjs | 为 auth.json 计算密码哈希 |
| deploy/install-task.ps1 | 登录 Windows 时触发的计划任务 |
| deploy/web-auth-proxy.auth.json.example | 凭据文件示例 |
| locale/dsh-locale-ru/ | 现成的俄语语言包 |
| locale/tools/ | 翻译源文件和更新脚本 |
| docs/dsh-web-access.txt | 管理员速查备忘 |

环境要求

- Windows 10/11，PowerShell 5.1+。
- Node.js 22+（node.exe 在 PATH 中）。
- 先运行一次 DSH，让配置档生成出来：
npx @deepseek-ai/dsh web --port 3081 --no-open

等到出现 dsh web: 这一行后停止（Ctrl+C）。
- 管理员权限 —— 用于 netsh portproxy 和计划任务。
- 带 TLS 的外部反向代理，转发到 <LAN-IP>:3080。

安装

1. 网关文件

复制到 %USERPROFILE%\.dsh\：

- web-auth-proxy.cjs
- web-auth-supervisor.ps1
- set-password.ps1
- hash-password.cjs

2. 俄语界面

把 locale\dsh-locale-ru 复制到 %USERPROFILE%\.dsh\profiles\web\locale-ru，然后创建 junction：

New-Item -ItemType Junction
-Path "$env:USERPROFILE\.dsh\profiles\web\node_modules\dsh-locale-ru"
-Target "$env:USERPROFILE\.dsh\profiles\web\locale-ru"

在 profiles\web\package.json 里添加依赖：

"dependencies": {
"dsh-locale-ru": "file:locale-ru"
}

在 profiles\web\cordis.patch.yml 里添加：

- insert:
- id: locale-ru
name: dsh-locale-ru

- id: locale
config:
preference: ru

3. 密码

cd "$env:USERPROFILE\.dsh"
powershell -ExecutionPolicy Bypass -File .\set-password.ps1 -User admin

脚本会提示输入密码（至少 8 个字符），写入 web-auth-proxy.auth.json 并验证登录。密码不会以明文形式保存在任何地方——只保存 scrypt 哈希。

不要在公网域名上使用 admin / root。至少 12–16 个字符，用唯一密码。

4. Portproxy 与自启动

在管理员 PowerShell 中执行：

cd "$env:USERPROFILE\.dsh"
powershell -ExecutionPolicy Bypass -File .\install-task.ps1

netsh interface portproxy add v4tov4
listenaddress=0.0.0.0 listenport=3080
connectaddress=127.0.0.1 connectport=3099

install-task.ps1 创建任务 DSH Web Auth Gateway：
- 触发器——用户登录，延迟 10 秒；
- 提升权限；
- 不限制运行时长；
- 故障时重启监督进程，最多 3 次。

监督进程每 10 秒检查 DSH（:3081）和网关（:3099），每 60 秒检查 portproxy；故障后接管遗留的 lock。

5. 验证

без пароля — 401 curl.exe -i http://127.0.0.1:3080/

с паролем — 200 curl.exe -u admin:ВАШ_ПАРОЛЬ http://127.0.0.1:3080/

снаружи
curl.exe -u admin:ВАШ_ПАРОЛЬ https://<ваш-домен>/

Windows 重启后：登录系统，等待 15–40 秒，打开网站。如果立刻出现 502——DSH 还在启动，刷新页面。

修改密码

cd "$env:USERPROFILE\.dsh"
powershell -ExecutionPolicy Bypass -File .\set-password.ps1 -User admin

- 网关会在约 5 秒内重新读取 web-auth-proxy.auth.json。
- 不需要重启 DSH/任务。
- 在浏览器中按 Ctrl+F5。
- 如果改了登录名，关闭标签页：浏览器可能缓存了旧的 Basic 凭据。必要时清除该域名保存的登录信息。

修改登录名：

powershell -ExecutionPolicy Bypass -File .\set-password.ps1 -User newadmin

自启动与诊断

Get-ScheduledTask -TaskName 'DSH Web Auth Gateway'
Get-ScheduledTaskInfo -TaskName 'DSH Web Auth Gateway'
Get-Content "$env:USERPROFILE\.dsh\web-stack-supervisor.log" -Tail 30

日志：

| 文件 | 内容 |
| ~\.dsh\web-stack-supervisor.log | DSH 与网关的启动/崩溃、portproxy |
| ~\.dsh\web-auth-proxy.log | 授权、网关错误 |
| ~\.dsh\web-live.log | DSH 的 stdout，包括 launch-URL |
| ~\.dsh\web-live.err.log | DSH 的 stderr |

常见问题：

- 重启后立刻 502——DSH 启动需要 15–40 秒，请等待。
- 改密码后 401——浏览器发送了旧的 Basic 凭据；按 Ctrl+F5，关闭再打开标签页。
- 重启后域名失效——LAN-IP 变了。
在路由器里做 DHCP-reservation 固定它，或设置静态 IP。
- 端口 3080 被占用——检查 Get-NetTCPConnection -LocalPort 3080； portproxy 应属于 iphlpsvc。

安全

- 对外只暴露 HTTPS；Basic 密码在浏览器 → proxy 这一段加密传输。
- Basic 密码和网关 cookie 是唯一的外部屏障。谁知道它们，谁就能完全访问智能体和机器。
- DSH 只监听 127.0.0.1:3081；网关只监听 127.0.0.1:3099。
- 不要把 :3081 和 :3099 开放到网络。
- 不要提交 web-auth-proxy.auth.json、.credentials.yaml、web-auth-proxy.secret、日志和会话。

更新俄语翻译

工具放在 locale/tools/：

cd locale\tools
node _build-dicts2.cjs # извлечь английские словари из установленного DSH
node _translate-ru.cjs # доперевести новые строки (Google Translate)
node _gen-client.cjs # собрать client.js языкового пакета

生成之后，在 profiles\web\cordis.patch.yml 里添加或修改注释，让 HMR 重新读取配置档，或者重新加载页面。详情见 locale/tools/README.md。

许可证

MIT。DSH 的第三方组件保留各自的许可证。