dsh-domain-trust
DSH Web 用于反向代理和隧道部署的受信任域名引导配置。
插件会安装到这里；不确定时保持 web。
npx -y @deepseek-ai/dsh plugin --profile web add dsh-domain-trust@0.1.4Domain Trust 以 dsh-domain-trust 发布，当前版本为 0.1.4。Plugin Hub 会校验它的 manifest，并保存精确安装来源，便于复现安装结果。
globalThis.__DSH_TRANSPORT__ = { ownsHost: true }，声明当前 Web 页面属于这个 Host。navigator.onLine === false 导致 DSH 前端启动后不主动连接。webserver.host，不会把 DSH 自动暴露到 0.0.0.0。|
反向代理友好
DSH 继续监听 127.0.0.1，由受控代理或隧道负责入口。
|
Host-owned 修复
让非 loopback 域名访问时仍可使用插件配置、Models 和 Host settings。 |
启动连接兜底
避免浏览器误报离线导致前端启动后不主动连接。 |
边界清晰
不绑定 0.0.0.0，不替代认证，不默认信任任何 Host。
|
这个插件适合用于 DSH Web 仍然只监听本机 loopback，但你通过一个受控入口访问它的场景，例如：
127.0.0.1:3080，外层由 nginx、Caddy、Traefik 等反向代理转发到域名。localhost / 127.0.0.1，导致 DSH 前端不认为当前页面是 Host-owned，插件配置、Models 或 Host-backed settings 为空白或不可用。典型部署方式是：DSH 继续只绑定 127.0.0.1，由你已经信任和控制的代理、隧道或内网入口负责对外暴露。
navigator.onLine 为在线，并拦截启动期的 offline 事件，让前端主动尝试连接。connection.authenticatedUrl() 生成 token URL，并重定向给浏览器，让 DSH 自己完成 token 到 cookie 的交换。GET / 或 HEAD /，并且只匹配 autoAuthHosts 中显式配置的 Host。0.0.0.0。需要远程访问时，请继续让 DSH 绑定 127.0.0.1，再通过反向代理、隧道或内网网关转发。autoAuthHosts 没有默认值，必须由你显式配置；清空列表即可关闭自动认证桥接。DSH 的设置客户端只在页面被判定为 Host-owned 时才接入 Host settings：
const persistence = ctx.remote.$host.isLoopback ? 'host' : 'memory'
// isLoopback = transport?.ownsHost === true || isLoopbackHostname(location.hostname)
浏览器地址栏是 localhost / 127.x / [::1] 时，设置页可用。通过非 loopback 域名、LAN IP、隧道地址或反向代理访问时，前端可能只使用 memory settings，插件配置和 Models 页面表现为空白或不可用。
DSH 0.1.2 还会要求先打开启动日志中带 ?token=... 的临时 URL，换取持久浏览器 cookie。反向代理和隧道部署中，每次去日志里复制这个 URL 很麻烦；本插件可以在你显式允许的 Host 上自动完成这一步。
dsh plugin --profile web add dsh-domain-trust@latest
安装完成后重启 DSH Web 进程，并硬刷新浏览器。
git clone https://github.com/ShawnKung/dsh-domain-trust.git
cd dsh-domain-trust
npm ci
npm run ci
dsh plugin --profile web add link:"$(pwd)"
link: 会让 DSH profile 直接引用当前目录。修改 Host 代码后需要重启 DSH Web，并硬刷新浏览器。
dsh plugin --profile web add dsh-domain-trust@latest
默认配置只修复 Host-owned 前端判断和浏览器在线状态。配置至少一个可信 Host 后，自动认证桥接即生效。
安装后也可以在 DSH 前台打开 Settings -> Plugins -> Plugin configuration，展开 Domain Trust 卡片配置自动认证桥接、信任 Host 和代理 secret。
- id: dsh-domain-trust
config:
autoAuthHosts: []
配置至少一个可信 Host 后，插件只会处理满足以下条件的请求：
GET / 或 HEAD /token 参数autoAuthHostsproxySecretHeader，请求还必须带有正确 secret- id: dsh-domain-trust
config:
autoAuthHosts:
- dsh.example.internal
- localhost:18080
- 127.0.0.1:18080
autoAuthHosts 支持 host 或 host:port。只写 host 时匹配该 hostname 的任意端口；写 host:port 时只匹配精确 authority。插件会优先使用 X-Forwarded-Host 和 X-Forwarded-Proto 生成浏览器可访问的跳转 URL，适合 nginx、Caddy、Traefik 等反向代理。
更稳妥的反向代理配置是要求代理注入一个私有 header：
- id: dsh-domain-trust
config:
autoAuthHosts:
- dsh.example.internal
proxySecretHeader: X-DSH-Domain-Trust
proxySecretEnv: DSH_DOMAIN_TRUST_SECRET
对应 nginx 示例：
proxy_set_header X-Forwarded-Host $http_host;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header X-DSH-Domain-Trust "replace-with-a-long-random-secret";
如果不想用环境变量，也可以用 proxySecretValue 直接配置 secret；不推荐把真实 secret 提交到仓库。
dsh-auth-* cookie。connection.authenticatedUrl()，然后让 DSH 自己完成 token-cookie 交换。autoAuthHosts 默认为空；没有显式允许的 Host 时，自动认证桥接保持关闭。127.0.0.1，由反向代理、SSH 隧道、Tailscale serve 或其他受控入口转发。ownsHost 后，远程浏览器会获得 Host-backed settings、插件配置、Models 和相关 Host 能力。只应对你信任的入口启用。安全问题请参阅 SECURITY.md。
npm ci
npm run check
npm test
完整检查：
npm run ci
npm pack --dry-run
提交信息必须遵循 Conventional Commits：
feat: add a trusted deployment mode
fix: keep auto auth limited to configured hosts
docs: clarify reverse proxy setup
详细流程见 CONTRIBUTING.md。
package.json 和 CHANGELOG.md 中的版本。vX.Y.Z 的 Tag。release.yml 校验 Tag 与包版本一致后，通过 npm Trusted Publishing 自动发布，并创建 GitHub Release。MIT © ShawnKung
