dsh-fakeip-safe-fetch
经过 DNS 验证的 Clash/Mihomo TUN fake-IP 网页抓取提供程序，用于 DeepSeek Harness
插件会安装到这里；不确定时保持 web。
npx -y @deepseek-ai/dsh plugin --profile web add github:xiaoyonghaoe/dsh-fakeip-safe-fetch#aa91052fbbc227e09cfb7cb1da966d8c3b0a9881Fakeip Safe Fetch 以 dsh-fakeip-safe-fetch 发布，当前版本为 0.1.1。Plugin Hub 会校验它的 manifest，并保存精确安装来源，便于复现安装结果。
让 DeepSeek Harness 的 web_fetch 在 Clash/Mihomo TUN fake-IP 模式下继续工作，同时保留非公网目标拦截。
每次系统 DNS 查询 → 全公网：验证后交给官方连接 pinning
→ 全 fake-IP：独立 DoH 验证 A/AAAA → 使用本次 fake-IP 连接
→ 混合、私网或非法结果：拒绝
latest 缺少所需 Resolver 接口，不能使用。198.18.0.0/15（IPv4）与 fdfe:dcba:9876::/48（IPv6），覆盖 Mihomo 的 fake-ip-range / fake-ip-range6 默认值。从源码生成安装包：
pnpm install --frozen-lockfile
pnpm check
mkdir -p artifacts
pnpm pack --pack-destination artifacts
使用 0.1.5-rc.2 的 DSH 命令安装到需要使用的 Profile：
dsh plugin --profile web add /absolute/path/dsh-fakeip-safe-fetch-0.1.1.tgz
dsh --profile web --dump-config
dsh plugin 会通过包内 dsh.bundle.patch 元数据自动加入配置层，加载 Provider，将 web.fetchProvider 设为 fakeip-safe，并启用 tool-web.fetch。无需手填默认配置。直接执行普通 npm install / pnpm add 不会触发 DSH 的 bundle 注册步骤。
默认补丁同时设置 searchProvider: deepseek-official、search: true。使用其他搜索提供方的用户应在上层 Profile 中保留自己的完整 web 配置。插件面向已有 web 与 tool-web 配置行的标准 DSH Profile；自定义精简 Profile 需先加载对应服务与工具。
卸载：
dsh plugin --profile web remove dsh-fakeip-safe-fetch
DSH 将移除本包的配置层；若用户自己的覆盖层仍指定 fakeip-safe，也需移除该覆盖。
所有配置项均可省略。插件安装后的默认值：
| 字段 | 默认值 | 含义 |
|---|---|---|
fakeIpCidrs | [198.18.0.0/15, fdfe:dcba:9876::/48] | 进入 DoH 验证流程的地址池，支持 IPv4/IPv6；不是直接放行名单。覆盖时为整体替换，双栈代理下必须同时列出 IPv4 与 IPv6 池 |
dohUrl | https://dns.google/dns-query | RFC 8484 HTTPS 二进制 DoH 地址 |
dohTimeoutMs | 5000 | 每次 DoH HTTP 查询及响应读取超时（毫秒） |
maxValidationTtlMs | 300000 | 成功验证缓存的 TTL 上限；0 禁用缓存 |
maxResponseBytes | 5000000 | 官方 Provider 的响应字节上限 |
maxBodyChars | 100000 | 正文字符上限 |
timeoutMs | 30000 | 包括 DNS、DoH、重定向和正文的完整抓取超时 |
maxRedirects | 5 | 最大同源重定向次数；0 禁止跟随 |
debug | false | 输出 DNS 分类、DoH 验证和缓存日志 |
示例：在自己的 cordis.patch.yml 中覆盖插件配置：
- id: web-fetch-fakeip-safe
name: dsh-fakeip-safe-fetch
config:
fakeIpCidrs:
- 198.18.0.0/15 # 保留默认 IPv4 池
- fdfe:dcba:9876::/48 # 保留默认 IPv6 池
- fd00:6152::/32 # 追加自定义 IPv6 池
dohUrl: https://cloudflare-dns.com/dns-query
dohTimeoutMs: 8000
maxValidationTtlMs: 60000
maxResponseBytes: 10000000
maxBodyChars: 200000
timeoutMs: 45000
maxRedirects: 3
debug: true
DSH Patch 整体替换目标行的 config，缺失字段由本插件的 Schema 默认值补齐；此前层中的自定义值不会自动保留。覆盖 web 时，需同时填写希望保留的 searchProvider 与 fetchProvider。tool-web.fetchTimeoutMs 是外层工具预算；只增大本插件 timeoutMs 不会延长该外层预算。
配置重载通过 Cordis 重新创建实例，终止旧实例请求并清空缓存。debug 输出走 Cordis logger；如宿主日志级别过滤 debug，还需调整宿主日志级别。
fake-IP 模式下代理会同时对 A 与 AAAA 返回伪地址。如果 fakeIpCidrs 只覆盖其中一族，整个 DNS 应答会被判为"非 fake-IP"并以 WEB_BLOCKED_URL 拒绝，表现为任何域名都抓不到、与具体网址无关。0.1.1 起默认值已同时包含 Mihomo 的两族默认池；自定义 fake-ip-range6 的用户需按报错补上自己的地址段。
拒绝时错误信息会指出落在池外的具体地址，例如：
DNS answer is not entirely fake-IP: non-public fdfe:dcba:9876::12c outside the configured fakeIpCidrs; add your proxy's fake-IP ranges
把这里列出的地址段加入 fakeIpCidrs 即可。注意该字段是整体替换，需连同默认池一起列出。
ipv4only.arpa 发现自定义 DNS64 前缀；发现失败时拒绝。Age；缺少 TTL 证明时仅供本次使用。HttpFetchProvider。声明长度超限拒绝；流式超限按官方行为截断。DoH 的解析结果无法证明 Clash 最终连接到完全相同的 IP。 本插件属于安全预检查；严格环境仍必须在代理出口阻止内网和云元数据访问。DoH 端点配置和机器的 TLS 信任库属于受信任的部署配置。
错误沿用 DSH WebError：安全策略拒绝为 WEB_BLOCKED_URL，DoH/系统解析错误为 WEB_PROVIDER_ERROR，抓取总超时为 WEB_FETCH_TIMEOUT，取消或卸载为 WEB_ABORTED；其他 URL、重定向和正文错误由官方 Provider 返回。
pnpm typecheck
pnpm test # 构建后执行测试；真实 HTTPS 测试需要 openssl
pnpm build
pnpm test:profile # 先打包；在 .test-profile/ 下创建全新隔离 DSH 安装
pnpm test:tun # 显式运行当前机器上的 TUN 实机测试
test:profile 会下载官方 DSH 0.1.5-rc.2，在独立 DSH_HOME 中验证 CLI 安装、补丁合成、配置覆盖、已安装包的 Cordis 注册和卸载。报告写入 artifacts/profile-report.json，不会修改日常 Profile；隔离目录保留以便排查。
test:tun 默认抓取 https://example.com/，可用 DSH_TUN_TEST_URL 指定测试网页。先检查系统 DNS 是否全部来自默认 fake-IP 池，再验证公网抓取、非公网字面量阻断、DoH 不可用时拒绝；未启用对应 TUN 环境的检查标记为 unverified，不会伪报通过。报告写入 artifacts/tun-report.json。就绪判断使用插件默认池（198.18.0.0/15 与 fdfe:dcba:9876::/48）；使用自定义 fake-IP 池时用 DSH_TUN_FAKEIP_CIDRS=198.18.0.0/15,fd00:6152::/32 pnpm test:tun 传入。
本地打包不等同于发布 npm；本项目不包含自动发布或修改 Clash 配置的脚本。