@lemoncat7/dsh-remote-settings-compat
DeepSeek Harness 的统一可信设置和密码访问网关
插件会安装到这里；不确定时保持 web。
npx -y @deepseek-ai/dsh plugin --profile web add @lemoncat7/dsh-remote-settings-compat@0.5.1Remote Settings Compat 以 @lemoncat7/dsh-remote-settings-compat 发布，当前版本为 0.5.1。Plugin Hub 会校验它的 manifest，并保存精确安装来源，便于复现安装结果。
@lemoncat7/dsh-remote-settings-compat 是 DeepSeek Harness 的统一远程访问插件。它把可信远程设置和密码访问网关收敛到一个安装包、一个设置入口，同时保持各模块独立、可审计。
正式版 0.5.1 针对 DeepSeek Harness 0.1.2-rc.1 构建并完成部署验证，需要 Node.js 22.19+ 或 24+。插件直接使用该版本的 Connection、Credentials 与 Settings 服务接口。
3081 -> DSH 3080，透明代理 HTTP 与 WebSocket。scrypt 不可逆保存；浏览器使用 HttpOnly、SameSite 会话 Cookie。/knowledge-api/v1 等配置的机器 API 可继续使用 Bearer Token，Token 仍由目标插件验证。/knowledge-api/v1/shared/share_... 的合法分享页、清单和内容 GET，不开放搜索、回写或管理接口。remote-settings-compat 可信 Origin 与页面元数据
connection 官方 Connection 兼容层
access 独立密码网关与管理 API
client 统一的“远程访问”设置卡
模块通过 DSH/Cordis 官方 Bundle 与服务接口组合。空间、会话、Knowledge 和 SSH 插件不依赖本插件的内部实现。
从独立的 @lemoncat7/dsh-access-gate 升级时：
dsh-access-gate 设置命名空间。dsh-access-gate/password 校验记录。trustedOrigins：远程设置权限remote-settings-compat.trustedOrigins 允许指定的完整浏览器 Origin 使用 DSH 远程设置。它是唯一的 Origin 权威来源，同时供远程设置和密码门禁校验使用。
只配置 trustedOrigins 不会启用 3081，也不会给 3080 加密码。
Access Gate 在 3081 提供 HTTP/WebSocket 透明代理与密码会话。公开流量必须整体进入 3081，而原始 3080 必须从网络边界上收紧；否则任何人仍可绕过密码直连 DSH。
在「设置 → 插件 → 远程访问 → Knowledge 与代理」开启「匿名读取 Knowledge 分享」后，未登录访客可以打开有效的笔记分享链接。该开关默认关闭，与 machineBearerPrefixes 相互独立：
GET，且 token 必须符合 Knowledge 分享格式。manifest 和 content 子路径。/knowledge-api/v1/search、notes、settings 等其他路由仍需正常鉴权。POST/PUT/PATCH/DELETE 不会因该开关获得匿名权限。services:
dsh:
ports:
# 可删除；保留时只允许绑定宿主机回环地址
- "127.0.0.1:3080:3080"
# 密码网关。同机 Nginx 时也可绑定宿为 127.0.0.1
- "127.0.0.1:3081:3081"
插件内部设置：
dsh-access-gate:
enabled: true
listenHost: 0.0.0.0
listenPort: 3081
secureCookies: true
remote-settings-compat:
trustedOrigins:
- https://dsh.example.com:2439
listenHost: 0.0.0.0 是容器内部监听地址；127.0.0.1:3081:3081 是宿主机发布边界，两者不冲突。如果 Nginx 在另一台局域网主机上，3081 可按需绑定宿主机局域网 IP，但不应无防护地暴露到公网。
location / {
proxy_pass http://127.0.0.1:3081;
# 必须保留非默认端口；不能用 $host
proxy_set_header Host $http_host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header X-Forwarded-Port $server_port;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection $http_connection;
proxy_http_version 1.1;
}
必须遵守三条边界：
proxy_set_header Host $http_host;，不能使用 $host。$host 会把 dsh.example.com:2439 变成 dsh.example.com，使精确 Origin/Authority 匹配失败。proxy_set_header Origin http://127.0.0.1:3080;，应让浏览器的 Origin: https://dsh.example.com:2439 原样传递。/api/ 代理到 3080。页面、API 和 WebSocket 必须经过同一个 3081 入口。请按下列顺序分阶段切换，避免密码未初始化就改反代而把自己锁在外面：
trustedOrigins。「远程访问」卡片会同时从普通入口和真实 /api/ 路径取样，检查：
secureCookies: true 是否与 HTTP 公开地址冲突。插件无法从容器内绝对证明宿主机是否把 3080 发布到公网，因此对外发布边界仍应使用 docker compose ps、防火墙和外部连通性交叉确认。
$http_host 没有被面板改回 $host。nginx -t，再 reload；分别验证页面/API 响应和 WebSocket 升级。密码通过 DSH 官方 ctx.credentials 抽象存储，插件不假设所有 Provider 都是本地文件，也不会擅自 chmod。使用官方本地 Provider 时，密码校验记录通常位于 $DSH_HOME/.credentials.yaml，建议权限为 600：
stat -c '%a %U:%G %n' "$DSH_HOME/.credentials.yaml"
chmod 600 "$DSH_HOME/.credentials.yaml"
Docker/NAS 中如果自检显示 Credentials 不可写，请同时检查文件所有者、挂载是否只读，以及容器内 DSH 进程用户是否有权限访问父目录。
npm install
npm test
npm pack --dry-run