@qipenglin/dsh-web-access
中文 | English
为 DeepSeek Harness Web profile 提供可选的本机 token 与 Cookie 访问认证。当前版本只兼容官方 DSH 0.1.1-rc.2。
安装
dsh plugin --profile web add github:qipenglin/dsh-web-access
dsh web
该命令直接从 GitHub 仓库的默认分支安装插件。仓库已包含经过验证的 lib 产物，安装过程无需执行构建脚本。安装完成后必须重启 Web Profile，旧进程不会自动启用认证。
重启后，dsh web 只输出一条包含 fragment token 的链接：
dsh web: http://localhost:3080/#token=<random-token>
请使用完整链接首次打开页面。浏览器会在第一次异步操作前清除地址栏 fragment，以 Bearer token 换取 host-only、HttpOnly、SameSite=Strict 的会话 Cookie，然后启动 DSH Connection。以后可在同一浏览器会话中打开不带 token 的裸地址。
安全行为
- WebServer 必须绑定
127.0.0.1；安装插件后使用 --host 0.0.0.0 会拒绝启动。
- 静态 HTML、shell 资源、boot manifest、
/plugins Client bundle 和 /plugins/events HMR graph 元数据保持公开，使浏览器启动可与认证并行执行。
- 匿名
/api、自定义 Connection RPC channel 和两条 Connection WebSocket 下行链路均返回 401。
- Host、Origin 或 Fetch Metadata 不匹配返回
403。
- query token、WebSocket subprotocol token、重复目标 Cookie 和重复 Authorization 会被拒绝。
- 每次进程启动都会生成新的 token、Cookie 名和会话 secret；旧 Cookie 在重启后失效。
- token 不写入 Cookie、Web Storage、history state、
DSH_WEB_URL 或模型上下文。
插件只保护本机 Web profile。它不是远程身份系统，也不支持局域网或公网部署。
卸载
dsh plugin --profile web remove @qipenglin/dsh-web-access
dsh web
卸载并重启后，Web profile 恢复官方 0.1.1-rc.2 的无认证行为。安装后若版本检查、绑定或装配失败，profile 会直接启动失败，不会在同一次启动中自动降级为无认证服务。
桌面端集成
Host 侧公开 ctx.webAccess：
interface WebAccess {
readonly origin: string
readonly interactiveUrl: string
readonly accessToken: string
authorize(request: WebAccessRequest): WebAccessDecision
}
未来桌面 runtime 可以选择读取该服务，并在原生 WebView 外完成 Cookie bootstrap。未安装插件时服务不存在，是否退化为裸 loopback 服务由桌面 runtime 决定。
开发与发布检查
需要 Node ^22.19.0 || >=24.0.0 和 pnpm 11.7.0：
pnpm install --frozen-lockfile
pnpm test
pnpm run test:coverage
pnpm run test:installed
pnpm run typecheck
pnpm run lint
pnpm run pack:check
pnpm run pack:check 会清空并重建 dist/，其中只保留已校验的 dist/qipenglin-dsh-web-access-0.1.3.tgz。
test:installed 会把生成的 tarball 安装到隔离的官方 rc.2 Web profile，验证 HTTP、WebSocket、重启失效和卸载恢复行为。
许可证
MIT
