WorkBuddy 自动签到 leoc114119/dsh-workbuddy-checkin

dsh-workbuddy-checkin

DeepSeek Harness 插件：给 DSH 注册一个 workbuddy_checkin 工具，读取本机 WorkBuddy 桌面端的加密登录态（只在内存中解密），查询并领取每日签到积分。

不是 WorkBuddy 插件，是 DSH 插件 —— 一个 npm 包，通过 Cordis 挂进 DSH 的插件树。

仓库：<https://github.com/leoc114119/dsh-workbuddy-checkin>

一行装：

dsh plugin --profile desktop add github:leoc114119/dsh-workbuddy-checkin

它解决什么

WorkBuddy 桌面端每天签到 +100 积分，但：

- 签到入口在客户端里，得手动点；
- 多账号（WorkBuddy / WorkBuddy AI）要分别点；
- 登录态是加密落盘的（$wbEncrypted 信封 + 两层密钥），直接读文件拿不到令牌。

这个插件把这三件事包成一个工具，于是 DSH 里既能手动问一句，也能挂排程每天自动跑。

安装

方式一：从本地目录装（开发 / 自用）

dsh plugin --profile desktop add file:/绝对路径/dsh-workbuddy-checkin

⚠️ 路径前必须带 file:。 裸路径会被 pnpm 装成 link: 符号链接，而 Node 解析依赖走 realpath —— 符号链接会让插件的 @deepseek-ai/ 依赖从你的源码目录往上找（那里没有），于是 DSH 只打一行
workbuddy-checkin (dsh-workbuddy-checkin): failed to import，插件静默不生效。
file: 会让 pnpm 在 profile 的 node_modules/ 里落地成真实目录，依赖查找才能沿 profile 往上命中 App 运行时自带的 @deepseek-ai/。代价：file: 是拷贝不是链接，改完源码要重装一次。

方式二：从 npm 装（发布后）

dsh plugin --profile desktop add dsh-workbuddy-checkin

方式三：从 GitHub 装（已实测可用，无需 npm 账号）

dsh plugin --profile desktop add github:leoc114119/dsh-workbuddy-checkin

DSH 桌面端也可以在 设置 → 插件 里装，等价于上面命令。
装完在 ~/.dsh/profiles/<profile>/package.json 的 dsh.profile.bundles 里会多出 dsh-workbuddy-checkin。

用法

作为 DSH 工具

装好后模型就有 workbuddy_checkin 工具：

| action | 作用 | 会不会改状态 |
| status | 只读查询每个账号的签到状态 | 否 |
| claim | 先查，未签到且有活动则领取 | 是 |
| accounts | 列出本机发现的账号与各自 host（不联网） | 否 |
| selftest | 只验解密链路（keyblob → 令牌 → host），不联网 | 否 |

account 参数可选，传账号名数组则只处理这几个。

作为命令行

包里带 bin，可以不经过模型直接用：

dsh-workbuddy-checkin status # 只读 dsh-workbuddy-checkin claim # 查并领取 dsh-workbuddy-checkin accounts # 列账号 dsh-workbuddy-checkin selftest # 只验解密链路 dsh-workbuddy-checkin status --json dsh-workbuddy-checkin status --account workbuddy-desktop

环境变量：

| 变量 | 作用 |
| WB_AUTH_DIR | 覆盖登录态目录（自动探测失败时用） |
| WB_KEYBLOB | 覆盖 keyblob 路径 |

每天 8 点自动签到

在 DSH 里建一条每天 08:00 的排程，提示词写：

调用 workbuddy_checkin 工具，action=claim，把每个账号的结果报给我。

排程到期会把提醒投进原会话，模型就会调这个工具 —— 不需要系统级定时器。

工作原理

登录态在哪

按优先级找第一个含 .info 的目录：

| 平台 | 路径 |
| macOS | ~/Library/Application Support/CodeBuddyExtension/Data/Public/auth |
| Windows | %APPDATA%\CodeBuddyExtension\Data\Public\auth |
| Linux | $XDG_CONFIG_HOME/CodeBuddyExtension/Data/Public/auth |
| 兜底 | ~/.workbuddy/auth |

两层密钥（关键）

敏感字段用 $wbEncrypted 信封加密，不是「一个全局密钥直接加密」：

~/.workbuddy/keyblob ← 每台机器一份，首次运行随机生成，mode 600 keyId: <本机数据密钥 ID>
slots[]: { type: "static-v1", protectorKeyId: <保护密钥 ID>, wrapped: <信封> }
← wrapped 是用「保护密钥」加密的本机数据密钥

- 保护密钥是 App 内置的全局常量，所有安装一致；
- 数据密钥每台机器不同，随机生成后存在 keyblob 里。

所以流程是：用保护密钥按 framing="file" 拆开 keyblob.slots[].wrapped 得到本机数据密钥 → 再拿与信封 keyId 匹配的那把钥匙去解字段。
⚠️ 信封带 keyId，必须按 keyId 选钥匙。不能因为「开发机上恰好是保护密钥的 ID」就写死。

两种信封

| scheme | 结构 |
| 对称（默认） | 载荷直接用数据密钥 AES-256-GCM 加密 |
| asym-v1 | 随机 32 字节文件密钥加密载荷；文件密钥被包两次 —— userWrap（用使用者密钥，我们能解）与 developerWrap（RSA-OAEP，托管恢复用，读取时用不到） |

authorWrap / developerWrap 的存在意味着不需要任何私钥就能读自己的数据。

host 不写死

「该打哪个域名」从令牌自己的 JWT iss 推导，其次 auth.domain，最后才退回已知映射。账号文件名各版本/各渠道可能不同，写死必然漏。

两个容易踩的坑

- 状态端点必须用 POST /v2/billing/meter/checkin-activity-status。同目录的 checkin-status 是桩接口，对所有账号恒定返回 active:false / streak:0 / total_credits:0，会把「今天已签到」误报成「未签到」。
- 「没有活动」≠「今天没签」。前者调领取端点只会得到 HTTP 400「签到活动未开启或已过期」，应当跳过而不是报错。
- 判断状态看 active / activity_name / theme_name / season / start_time / today_checked_in / streak_days / total_credits / checkin_dates。不要用 daily_credit：真端点对所有账号恒 100、桩端点恒 0，没有区分力。

安全

- 令牌只在内存中解密，随即用于请求头；不落盘、不完整回显（输出一律脱敏成 eyJhbG…(1395 字符，已脱敏)）。
- 只读登录态文件与 keyblob，不改写、不复制。
- 除 claim 外所有动作都不发写请求。
- 请求只发往从你自己令牌 iss 推导出的官方域名。
- 本包不含任何硬编码的开发机密钥或账号信息 —— 唯一的常量是 App 内置的公开保护密钥（所有安装一致，不是秘密）。

已验证到什么程度

诚实分级：

| 结论 | 级别 |
| 解密链路（keyblob 两层密钥 → 令牌 → host） | 确定 —— 本机两个账号（workbuddy-desktop / workbuddy-desktop-ai）实测解密成功，与独立 Python 实现逐字段一致 |
| 状态查询 | 确定 —— 对两个真实账号真实请求，结果与 Python 版一致（一个 no_activity、一个 already_checked_in，连续 17 天 / 1700 积分） |
| DSH 挂载 + 工具调用 | 确定 —— 装进 profile 后 Cordis 成功挂载；headless 会话里模型确实调用了 workbuddy_checkin，返回上面两段真实结果（即本 README 的表格数据来源） |
| 装进正在运行的 DSH 桌面端 | 确定 —— 宿主进程已连续运行两天、安装动作发生在其启动之后；在该进程内新建会话，模型成功调用 workbuddy_checkin 并返回同样两段真实结果 ⇒ 无需重启即已生效 |
| 从 GitHub 直装（他人的安装路径） | 确定 —— 干净 profile 里 dsh plugin add github:leoc114119/dsh-workbuddy-checkin 一次成功，挂载 + 工具调用均通过 |
| asym-v1 信封 | 按源码实现 + 往返验证 —— 本机没有真实 asym-v1 样本，构造样例验证通过 |
| 真正领到一次积分 | 尚未 —— 本机账号当天都已签到 / 无活动，没有可领的机会 |
| 跨机器可用 | 未验证 —— 密钥层级按通用逻辑实现（按 keyId 选钥匙），但只在开发机上跑过 |

许可

MIT © 2026 leochen