远程访问网关 zergtant/dsh-remote-access

dsh-remote-access（dsh 远程访问）

update： dsh 0.1.5 没有改API这次更新只是修改了一些小问题，所以无需改动 API 适配。唯一修复的是自签证书有效期（见下「安全模型」）。

- dsh-0.1.3-alpha.2：验证流程与 API 对齐（登录门禁 + 凭据库 + 设置命名空间）。
- dsh-0.1.2-alpha.1：更新了验证流程和API，最新修改已经兼容。
- 原v1.0 对应dsh-v0.1.1

给 DeepSeek Harness (dsh) 的 web GUI 增加一个自包含的 TLS 远程入口：独立端口 + 自签证书 + 登录页 + 会话 cookie，之后透明代理到本机的 dsh web 服务器（默认 127.0.0.1:3080）。

把只在 127.0.0.1 上监听的 dsh GUI，安全地暴露给局域网 / frp

功能

- TLS edge：独立端口（默认 3081）监听，自签证书（首次自动生成、自动续期）
- 登录门禁：用户名 + 密码，登录后下发会话 cookie（HttpOnly/SameSite=Lax/Secure），按 IP 限速防爆破
- 透明代理：HTTP 请求 + WebSocket 全部转发到回环 dsh，Host/Origin 改写为回环，dsh 的信任围栏照常把请求当作本地请求
- 设置面板：GUI「设置 → 远程访问」一级菜单：「启动/停止」按钮（即时生效）+ 实时状态行 + TLS / 端口 / 监听地址 / 账号 / 密码（保存后热生效，改端口即时迁移，无需重启 dsh）
- 浏览器零改写：GUI 原样加载；edge 仅在转发的 index.html 注入一行标记，让 dsh 客户端识别"本页 /api 由可信 edge 服务"

安装

前提：已有一个运行中的 dsh web 部署（本插件是它的 profile 插件）。

统一用 dsh 官方命令 dsh plugin 安装（Linux / macOS / Windows 通吃，无需手改任何 JSON——它自动完成 pnpm 安装，并自动把声明了 dsh.bundle 的依赖登记进 profile 的 bundles 层）。前提是机器上有 dsh CLI 和 pnpm。

方式一：从 GitHub 远程安装（推荐）

dsh plugin --profile web add github:zergtant/dsh-remote-access

方式二：本地目录安装

cd /path/to/dsh-remote-access
dsh plugin --profile web add .

方式三：npm 安装

暂不支持升级 / 卸载

dsh plugin --profile web update dsh-remote-access # 升级（git 源重新拉取）
dsh plugin --profile web remove dsh-remote-access # 卸载（bundles 登记自动移除）

安装完都必须重启 dsh 生效。插件默认 enabled: false，不会自动监听任何端口，需在 GUI 里显式开启。

安装时 pnpm 会报一条 peer 提示，这是预期的： Issues with peer dependencies found ... missing peer @deepseek-ai/dsh-credentials。
凭据 seam 由 dsh 安装闭包在 $DSH_HOME/profiles/node_modules 提供，不由 profile 自己安装，所以 pnpm 看不见它。装完 pnpm peers check 会一直显示这条，插件实际运行正常。本插件把两个 dsh 依赖按 dsh 自己的约定分开声明：@deepseek-ai/dsh-credentials（宿主 seam，必须共用宿主实例）放 peerDependencies；@deepseek-ai/schemastery（运行时校验器，可以自带一份）放 dependencies。

使用

1. 重启 dsh 后，打开 GUI：设置 → 远程访问
2. 设置密码（必填，公网暴露时的唯一口令）、用户名（默认 admin）
3. 点页面顶部的「启动」按钮（即时生效，不用点保存）→ 立即在 0.0.0.0:3081 监听，按钮旁显示"运行中 · https://…"
4. 访问：
- 本机：https://127.0.0.1:3081
- 局域网：https://:3081
- 公网：把 frp 隧道指向 127.0.0.1:3081
5. 浏览器首次访问会提示自签证书不受信任——点"高级 → 继续访问"即可（或用 curl -k 验证）。
如果不想看这个提示，可以取消 TLS 复选框改用明文 http（但dsh有个小bug，所以这个方式是为cf反代使用）

配置项（设置卡片）

| 字段 | 默认 | 说明 |
| 启动/停止 | — | 页面顶部操作区：点「启动」立即拉起、点「停止」立即停止（均无需保存）；按钮旁实时显示 运行中 · https://host:port / 未启用 |
| TLS（https） | 开 | 自签 https；关闭 = 明文 http（内网/调试用，省掉浏览器证书告警），保存后生效 |
| 端口 | 3081 | 1–65535，保存后即时迁移监听 |
| 监听地址 | 0.0.0.0 | 0.0.0.0（对外）/ 127.0.0.1（仅本机，例如只给 frp 用） |
| 用户名 | admin | 登录用户名 |
| 密码 | — | 存 dsh 凭据库（~/.dsh/.credentials.yaml，0600），设置里留空=保持不变 |

启动/停止永远用已保存的配置**；TLS/端口/监听地址/用户名/密码改完都处于"未保存草稿"状态，点「保存」才应用——运行中保存 = 立即热迁移，停止中保存 = 下次启动生效。有未保存更改时页面显示琥珀色横幅提示，避免误以为服务已按新配置运行。
安全模型

- 主服务零暴露：dsh 主 web 服务器仍只绑 127.0.0.1；对外只有本插件的 3081。
- 唯一门禁 = 登录口令：edge 之后的 /api（含特权设置面）都由登录 cookie 保护。公网暴露时务必使用强密码。
- 证书：自签（localhost/127.0.0.1 SAN，10 年有效期， 证书有效期说明：selfsigned 5.x 是重写版本（基于 @peculiar/x509），移除了 v4 的 days 选项，有效期只能通过 notBeforeDate/notAfterDate 指定，不传时默认 365 天。本插件按绝对时间传 notAfterDate 拿到 10 年有效期（该字段在 v4 上同样有效）。如果不修，证书会静默变成 1 年一续——只要 dsh 连续运行超过一年、或恰好在到期 30 天窗口外重启，浏览器就会直接拒绝连接。

公网部署建议：配合 frp 的 tls_enable、SSH 跳板、或在更外层（frp/nginx/Caddy）再套一层可信证书与 IP 白名单。本插件只负责"TLS + 登录"，不替代网络层防护。

开发

改浏览器端后重新打包
npm install # 装 esbuild（devDependency）
npm run build:client # src/client.tsx → lib/client.js
宿主端是纯 JS，改完直接同步
npm run build:host # src/index.js → lib/index.js
或一次全构建
npm run build

lib/ 已随仓库提交（可直接安装）；src/ 是源。

卸载

dsh plugin --profile web remove dsh-remote-access # 移除依赖 + bundles 登记，并 pnpm install

然后重启 dsh；可选删除残留：~/.dsh/dsh-remote-access/（自签证书）与凭据库里的 DSH_REMOTE_ACCESS_PASSWORD（~/.dsh/.credentials.yaml）。

已知限制

- 自签证书会触发浏览器告警（见上"安全模型"）。
- 会话为内存态，dsh 重启后需重新登录。
- 单进程单 edge：一个 dsh 实例对应一个 3081；多实例需改端口。

License

MIT