前言¶

DeepSeek Harness (DSH) 的官方 Web profile 默認不開啓訪問認證。對於本地開發環境，這通常是可以接受的。但在需要更嚴格訪問控制的場景下，可以通過安裝插件來爲 Web profile 添加可選的本機 token 與 Cookie 訪問認證。該插件由 qipenglin 維護，開源協議爲 MIT。

安裝與啓用¶

插件安裝後必須重啓 Web Profile 才能生效。

dsh plugin --profile web add github:qipenglin/dsh-web-access
dsh web

使用流程¶

重啓後，執行 dsh web 只會輸出一條包含 fragment token 的鏈接。請使用完整鏈接首次打開頁面。

瀏覽器會在第一次異步操作前清除地址欄 fragment，以 Bearer token 換取 host-only、HttpOnly、SameSite=Strict 的會話 Cookie，然後啓動 DSH Connection。以後在同一瀏覽器會話中，可以直接打開不帶 token 的裸地址。

安全與認證機制¶

插件強制要求 WebServer 必須綁定 127.0.0.1，使用 --host 0.0.0.0 會拒絕啓動。

在安全行爲上，以下資源保持公開，以支持瀏覽器啓動與認證並行執行：
* 靜態 HTML
* shell 資源
* boot manifest
* /plugins Client bundle
* /plugins/events HMR graph 元數據

對於敏感路徑和連接：
* 匿名 /api、自定義 Connection RPC channel 和兩條 Connection WebSocket 下行鏈路均返回 401。
* Host、Origin 或 Fetch Metadata 不匹配返回 403。
* 每次進程啓動都會生成新的 token、Cookie 名和會話 secret，舊 Cookie 在重啓後失效。

Host 側集成¶

安裝後，Host 側會公開 ctx.webAccess，供桌面 runtime 讀取。該服務不存在時，是否退化爲裸 loopback 服務由桌面 runtime 決定。

注意事項¶

• 版本兼容性：當前版本只兼容官方 DSH 0.1.1-rc.2。
• 部署範圍：插件只保護本機 Web profile，不支持局域網或公網部署。
• 啓動失敗處理：安裝後若版本檢查、綁定或裝配失敗，profile 會直接啓動失敗，不會在同一次啓動中自動降級爲無認證服務。
• 卸載：卸載並重啓後，Web profile 恢復官方 0.1.1-rc.2 的無認證行爲。

生態背景¶

DeepSeek Harness (DSH) 遵循“一切皆插件”的理念，社區維護了獨立的插件目錄。本文介紹的插件即爲社區生態的一部分，與 DeepSeek 或 幻方無官方從屬關係。

該插件通過強制本機認證和精細的 HTTP/WS 層防護，增強了 DSH Web profile 的安全性。如需查看更多詳情或反饋，請訪問其 GitHub 倉庫。

• 目錄頁：https://www.skillhub.cn/plugins/qipenglin/dsh-web-access
• GitHub：https://github.com/qipenglin/dsh-web-access