DeepSeek Harness (DSH) 是一个插件化平台。要在手机上使用 Harness 的 Web UI 进行开发，通常需要将服务绑定到 0.0.0.0，这会绕过 DSH 默认的本地访问安全模型。dsh-guard-messenger 插件提供了一个替代方案：它不扩大 bind 范围，而是通过 Cloudflare 的 quick tunnel 在边缘建立临时连接，并将流量转发到本地的 127.0.0.1。
安装¶
通过一行命令安装：
dsh plugin --profile web add dsh-guard-messenger
安装后，插件会自动配置，无需手动修改 bind 地址。
核心功能¶
该插件专注于解决远程访问本地 Harness 时的安全与便利性问题：
- 保护隧道，而非 loopback：DSH 本地监听
127.0.0.1直接开放，外网通过 Cloudflare 隧道访问。插件在加载时会拒绝非 loopback 的 bind 请求，并拒绝危险的danger-full-access权限。 - 无密码认证：访问隧道不需要输入密码。认证通过链接中的
?key=参数或会话 Cookie 实现。 - 临时隧道：隧道是瞬态的，适合测试和开发。
- 一键开关：通过 Telegram、Discord 或 DSH 的管理面板即可开启或关闭访问。
- Bot 触发 Agent：通过机器人命令
/agente在宿主机上运行 Harness 的 Agent。
使用方式¶
安装启用后，可以通过以下方式操作：
- 访问 Web UI：在浏览器中访问
/__guard-ui。 - 管理密钥：在 Harness 中执行
/rotacionar来轮换访问密钥，这将同时使当前活跃的连接失效。 - 运行 Agent：在机器人中发送命令执行宿主机上的 Agent。
适用场景与注意¶
该插件在降低攻击面的同时引入了特定的安全考量，使用前需了解：
- TLS 终止在边缘：Cloudflare 边缘终止 TLS，明文数据（Prompt、代码、响应）会经过第三方服务器。这不是端到端加密。
- URL 公开，密钥保护：隧道 URL 不需要保密，真正的保护在于 URL 参数中的
?key=。如果密钥泄露，需立即通过/rotacionar重新生成。 - 无 SLA：Quick Tunnel 不提供服务等级协议，仅设计用于测试和开发。
- 非默认安全：这并非“开箱即安全”的解决方案，而是通过限制 bind 和添加边缘认证来降低风险。Prompt 注入等攻击依然可能发生。
插件以当前 DSH 进程的权限运行，请确保安装前检查源码与许可证。
总结¶
dsh-guard-messenger 解决了“远程访问本地 Harness”的需求，在不改变 DSH 本地安全策略的前提下，通过 Cloudflare 隧道和边缘认证提供了可控的暴露途径。它通过 Telegram 或 Discord 提供了便捷的管理入口，适合需要在移动端进行调试的开发者。
