@beyondandsharp/dsh-plugin-notoken

Plugin Notoken

DSH host plugin: one stable login entry that exchanges the process launch token for the browser-session cookie, so a first visit needs no ?token=... in the URL. WARNING: this removes the authentication step.

Target profile

The plugin will be installed here. Keep web if you are unsure.

npx -y @deepseek-ai/dsh plugin --profile web add github:BeyondandSharp/dsh-plugin-notoken#300673e6a52a6e3a3179cef052c74db2a02e766d

Compatibility and provenance

Plugin Notoken is published as @beyondandsharp/dsh-plugin-notoken and currently resolves to version 1.0.5. The Hub verifies its manifest and preserves the exact installation source for reproducible installs.

DSH compatibility: *
Runtime surfaces: any
Release source: github
Registry updated: 10/3/2026

Versions

1.0.5stable

10/3/2026

1.0.4stable

10/2/2026

1.0.0stable

9/29/2026

README

dsh-plugin-notoken

DSH 本地插件：注册一个登录入口路由（默认 GET /__dsh_login），把进程里的登录 token 换成浏览器会话 cookie，让首次访问不用带 ?token=…。

⚠️ 不安全

装上之后，任何能访问这个端口、并且 Host 通过 DSH 信任围栏的人，都等于拿到了 operator 权限 —— 可以执行工具、读取凭据、以运行 dsh web 的 OS 用户身份操作这台机器。

原理

DSH 只在两处做浏览器认证：frontend-static 渲染 index 前调用 connection.authorizeIndex()，以及 /api 路由自己的准入检查。插件注册的具名路由在两者之前匹配、默认不认证 —— 入口就在这条缝里：

GET /__dsh_login
  ├─ connection.requestRejection()  先过信任围栏：403 拒绝；401（还没有会话）放行
  ├─ connection.authenticatedUrl()  取当前进程 token（每次请求都取，重启后仍有效）
  ├─ connection.authorizeIndex()    进程内完成 token → cookie 交换（303 + Set-Cookie）
  └─ 普通导航：把 303 转发给浏览器
     跨站导航（点链接、主屏幕图标启动）：直接返回应用外壳，cookie 一起下发
     （那条链上 SameSite=Strict 的 cookie 会被一直扣住，走 303 会变成"重定向次数过多"）

不签 cookie、不接触密钥、不解析启动输出、不改 DSH 源码。

安装

$DSH plugin --profile web add @beyondandsharp/dsh-plugin-notoken         # 从 npm
# 也可以直接装 GitHub 或本地目录：
$DSH plugin --profile web add github:BeyondandSharp/dsh-plugin-notoken
$DSH plugin --profile web add /path/to/dsh-plugin-notoken                # DSH=/path/to/dsh

nginx

示例见 examples/nginx.conf：把裸 / 的 401 在服务端内部改写成入口，地址栏全程停在 /。两条硬规则：Host 原样透传（cookie 绑定它），且该 authority 在 trustedHosts 里；只拦 location = /，/api 与 WebSocket 一律原样透传。

验证

node --test && bash verify/e2e.sh

README

dsh-plugin-notoken

DSH 本地插件：注册一个登录入口路由（默认 GET /__dsh_login），把进程里的登录 token 换成浏览器会话 cookie，让首次访问不用带 ?token=…。

⚠️ 不安全

原理

GET /__dsh_login
  ├─ connection.requestRejection()  先过信任围栏：403 拒绝；401（还没有会话）放行
  ├─ connection.authenticatedUrl()  取当前进程 token（每次请求都取，重启后仍有效）
  ├─ connection.authorizeIndex()    进程内完成 token → cookie 交换（303 + Set-Cookie）
  └─ 普通导航：把 303 转发给浏览器
     跨站导航（点链接、主屏幕图标启动）：直接返回应用外壳，cookie 一起下发
     （那条链上 SameSite=Strict 的 cookie 会被一直扣住，走 303 会变成"重定向次数过多"）

不签 cookie、不接触密钥、不解析启动输出、不改 DSH 源码。

安装

$DSH plugin --profile web add @beyondandsharp/dsh-plugin-notoken         # 从 npm
# 也可以直接装 GitHub 或本地目录：
$DSH plugin --profile web add github:BeyondandSharp/dsh-plugin-notoken
$DSH plugin --profile web add /path/to/dsh-plugin-notoken                # DSH=/path/to/dsh

nginx

验证

node --test && bash verify/e2e.sh

Plugin Notoken

Compatibility and provenance

Versions

Related plugins

Plugin Notoken

README

dsh-plugin-notoken

⚠️ 不安全

原理

安装

nginx

验证

Compatibility and provenance

Versions

Related plugins

Related plugins

Related plugins

README

dsh-plugin-notoken

⚠️ 不安全

原理

安装

nginx

验证