dsh-totp-proxy
独立的 DSH/Cordis 插件和反向代理，内置 TOTP / 固定令牌登录。将 DSH 的 dsh-auth-* bearer Cookie 保留在浏览器之外，并让 Nginx 对外提供可撤销的服务端会话。
插件会安装到这里；不确定时保持 web。
npx -y @deepseek-ai/dsh plugin --profile web add github:realjhen123/dsh-totp-proxy#9922a35b43fd981ca1340a246f5bbe00e2d9345bTotp Proxy 以 dsh-totp-proxy 发布，当前版本为 0.2.0。Plugin Hub 会校验它的 manifest，并保存精确安装来源，便于复现安装结果。
点击下方 Badge 复制 Markdown，粘贴到 README 即可。
验证 package.json 声明的 GitHub 仓库，即可管理这个公开页面。认领后，Hub 会优先安排当前版本的安全扫描，并在通过后公开展示结果。
认领这个 Plugin →human-written
由人类完成
This project is 100% vibe-coding product, make for deepseek-harness access control base on TOTP.
Design for public network environment but do not using it on real public network.
If you want to using this plugin, make sure nginx can only proxy to 3090 and 3080 could not be access on external.
For totp, you can use Apple Passwords or 1Password or something like.
Configure page must be access via 127.0.0.1 so if your dsh on a virtual environment that have not GUI, for first time or forget totp, using ssh dsh@dsh -NL 3080:127.0.0.1:3080, then you can open 127.0.0.1:3080 for add qrcode.
For any configure, using ssh dsh@dsh -NL 3090:127.0.0.1:3090 you can config all about dsh-totp-proxy on 127.0.0.1:3090.
本项目由100% vibe-coding AI打造，用于给deepseek-harness添加一个基于TOTP验证的权限控制
请不要将本项目放在公网环境
如果你想用这个插件，确保你的nginx或任何反代只能到3090端口，3080端口只能本机访问
对于TOTP，你可以使用苹果的密码、1Password或其他类似物
配置页面只能通过本机访问，如果你在没有GUI的虚拟环境，对于第一次或忘记TOTP码，ssh dsh@dsh -NL 3080:127.0.0.1:3080可以帮助你创建ssh端口映射，你就可以在127.0.0.1:3080看到二维码
对于修改配置，ssh dsh@dsh -NL 3090:127.0.0.1:3090创建端口映射，可以管理所有dsh-totp-proxy的配置
AI-written
由AI完成
独立的 DSH/Cordis 插件 + 反向代理：内置 TOTP / 固定 token 登录，浏览器只持有可吊销的 dsg_session。
DSH 核心签发的 dsh-auth-* 是自包含 bearer cookie，浏览器拿到后即使再弹验证码也能在过期前直接调用 API。本代理把原始 cookie 留在服务端，浏览器只拿到随机 session；每个 HTTP 请求和 WebSocket upgrade 都先经过代理校验，删除服务端 session 即可立即吊销。
零运行时依赖，Node.js 22+（仅 node:http / node:https）。
浏览器 --dsg_session--> Nginx :80/:443 --> dsh-totp-proxy 127.0.0.1:3090 --dsh-auth cookie--> DSH 127.0.0.1:3080
代理自己校验 TOTP / 固定 token，读取 DSH browser-session 签名密钥，直接签发 DSH 核心认可的 cookie。
作为 DSH 插件：
dsh plugin --profile web add /home/coder/project/dsh-totp-proxy -w
可用 cordis.patch.yml 覆盖配置：
- id: dsh-totp-proxy
config:
host: 127.0.0.1
port: 3090
target: http://127.0.0.1:3080
cookieSecure: true
authMode: both
独立运行：
node totp-proxy.mjs
测试：
npm run check # 语法检查 + node --test
authMode | 行为 |
|---|---|
totp | 只接受 6 位验证码 |
token | 只接受固定 token |
both | 两者任一（默认） |
凭据首次运行自动生成，保存在 ~/.dsh/dsh-totp-proxy/：
totp.json — Base32 TOTP secrettoken.json — 固定访问 token连续失败达到上限（默认 10 次）会按 IP 锁定（默认 60 秒）。
常用环境变量（完整默认值见 src/server.mjs 的 DEFAULTS）：
| 变量 | 默认 | 说明 |
|---|---|---|
DSH_TOTP_PROXY_HOST | 127.0.0.1 | 监听地址 |
DSH_TOTP_PROXY_PORT | 3090 | 监听端口 |
DSH_TOTP_PROXY_TARGET | http://127.0.0.1:3080 | DSH 上游 |
DSH_TOTP_PROXY_AUTH_MODE | both | totp / token / both |
DSH_TOTP_PROXY_TOTP_SECRET | 空 | 直接指定 Base32 secret |
DSH_TOTP_PROXY_TOKEN | 空 | 直接指定固定 token |
DSH_TOTP_PROXY_SESSION_TTL_MS | 1800000 | 代理 session TTL |
DSH_TOTP_PROXY_COOKIE_NAME | dsg_session | 浏览器 cookie 名 |
DSH_TOTP_PROXY_COOKIE_SECURE | false | HTTPS 后置 1 |
DSH_TOTP_PROXY_BROWSER_SESSION_SECRET | 空 | DSH cookie 签名密钥 |
DSH_TOTP_PROXY_CREDENTIALS_FILE | ~/.dsh/.credentials.yaml | 读取签名密钥的文件 |
DSH_TOTP_PROXY_UPSTREAM_SESSION_PATH | /api | 上游会话校验路径 |
DSH_TOTP_PROXY_COOKIE_SECURE=1 必须与 HTTPS 一起使用；DSH 3080 和代理 3090 都不能直接暴露。
:80/:443），反代到 127.0.0.1:3090，并转发 Upgrade / Connection 以支持 WebSocket。127.0.0.1:3080。DSH_TOTP_PROXY_COOKIE_SECURE=1。~/.dsh/.credentials.yaml（含 client-connection/browser-session 密钥）必须保持 0600。能做到： 浏览器看不到 dsh-auth-*；删除服务端 session 立即吊销；所有 API / WebSocket 统一校验。
仍注意： dsg_session 是 bearer credential，被窃取后可在 TTL 内重放；必须 HTTPS + HttpOnly + SameSite=Strict + 短 TTL；session 在内存中，代理重启后需重新登录。
MIT