dsh-remote-auth

dsh plugin --profile web add dsh-remote-auth

dsh-remote-auth

DSH 远程授权页：点一下链接或扫一下二维码，设备即可获得当前 dsh web

进程的浏览器会话——再也不用翻 ~/.dsh/logs/ 找 token。

One click or one QR scan mints the current process's browser-session URL for

DeepSeek Harness (dsh web). No more digging the launch token out of server logs.




为什么需要它

dsh web 用"每次进程启动随机生成"的 launch token 授权浏览器：

访问 /?token=... 后换取 30 天签名 cookie。本机浏览器启动时自动打开没问题，

但 iPad / iPhone / 其他电脑（经 Tailscale 或家庭 Wi-Fi）要访问时，只能去

服务器日志里翻带 token 的 URL——麻烦且易错。

本插件在 webserver 上挂一个公开路由 GET /mobile-auth：设备打开后输入 PIN

（可选），页面给出当前进程、且与访问所用 authority 一致的授权链接 +

二维码；点击/扫码即铸造 cookie。cookie 由持久化签名密钥签发（

~/.dsh/.credentials.yaml），重启 dsh 不会踢掉已授权设备，每 30 天

刷新一次即可。

安装

dsh plugin --profile web add dsh-remote-auth -w
# 重启 dsh web 生效（GUI 会短暂断连后自动恢复）：
launchctl kickstart -k gui/501/com.dsh.web        # macOS launchd
# 或直接：dsh --profile web

安装后从任意授权设备打开：

• 局域网：http://<Mac-name>.local:3080/mobile-auth
• Tailscale：http://<host>.tailXXXX.ts.net:3080/mobile-auth
• 本机：http://127.0.0.1:3080/mobile-auth

输入 PIN（若启用）→ 点"在本设备打开授权链接"（或让另一台设备扫二维码）。

PIN 只在服务端 profile 配置里保存与查看，任何页面上都不会显示 PIN。

配置

在 profile 的 cordis.patch.yml 中覆盖行配置：

- id: dsh-remote-auth
  config:
    # Host 头白名单：裸主机名（任意端口）或精确 host:port。回环恒放行。
    allowedAuthorities:
      - myhost
      - myhost.tailXXXX.ts.net
    # 源 IP 网段白名单（CIDR）。回环恒放行。
    allowedSubnets:
      - 100.64.0.0/10      # Tailscale
      - 192.168.0.0/16     # 家庭内网
    # 8 位字母数字 PIN；"" = 关闭 PIN 门禁（不推荐公网使用）。
    pin: ""
    # 当服务位于 TLS 反向代理之后时设为 "https"。
    originProtocol: "http"

字段 · 默认 · 说明

allowedAuthorities · [] · Host 头名单（bare host 匹配任意端口）

allowedSubnets · [] · 源 IP CIDR 名单

pin · "" · PIN 门禁；连错 5 次锁 60 秒（按源 IP）

lockAfterFails · 5 · 锁定阈值

lockSeconds · 60 · 锁定秒数

originProtocol · "http" · 反代启用 TLS 后改为 "https"

访问门禁（安全模型）

OR 语义：Host ∈ allowedAuthorities 或 源 IP ∈ allowedSubnets

即放行；回环恒放行；两表皆空 = 仅回环（fail closed）。因此：

• 想按"名字"访问 → 写 allowedAuthorities（ts.net 域名 / mDNS 名）；
• 想按"网段"放行（裸 IP 访问、整段 Tailscale/内网）→ 写 allowedSubnets。

/mobile-auth 是 webserver 公开路由（不在 /api cookie 门禁之下），它自己

的围栏 + PIN 就是防线。页面给出的授权 URL 由官方扩展点

ctx.connection.authenticatedUrl(请求origin) 生成——与设备当前使用的

authority 一致，cookie 才能正确落到该 authority（cookie 按 host:port 绑定，

LAN IP 与 ts.net 域名是两张独立 cookie，需各自授权一次）。

兼容性

• 依赖内核扩展点：ctx.webServer.register（dsh-host-webserver）与

ctx.connection.authenticatedUrl（dsh-client-connection）。

• 已验证内核版本：0.1.2-rc.1、0.1.6-alpha.1（2026-09-17 复检：上述扩展点

与浏览器认证模型均未变化，token 交换 / cookie / 门禁全链路通过）。

• 升级 dsh 后请运行 docs/VERIFY.md 清单复验。
• 明文 HTTP 环境（局域网/Tailscale IP）需要 crypto.randomUUID polyfill——

配合 dsh-web-lan-access

可自动注入（本插件不重复实现）。

开发

npm run check    # 语法自检

第三方代码：lib/qrcode.cjs 为 qrcode-generator

(MIT, Kazuhiko Arase) 的 vendored 单文件。勿改成 .js——本包

"type": "module"，.js 会被按 ESM 加载导致 UMD 导出成空对象、二维码空白。

License

MIT © 2026 dsh-remote-auth contributors（lib/qrcode.cjs 保留原作者版权头）