DeepSeek Harness (DSH) 的 Web UI 默認綁定在 127.0.0.1，無法直接從局域網內的其他設備訪問。dsh-lan-guard 插件通過在另一個端口上開啓一個帶門控的反向代理，將官方 UI 轉發出去。它默認使用自簽名 HTTPS，並提供二維碼訪問方式。
插件介紹¶
dsh-lan-guard 是一個 DeepSeek Harness 社區插件，由 idoall 維護。它的核心功能是在不修改 DSH 源碼或其自身監聽配置的前提下，增加一個安全的局域網訪問入口。它通過門控反向代理實現訪問控制，默認提供自簽名 HTTPS 證書和二維碼訪問功能。
核心功能¶
- 門控反向代理：插件在 DSH 端口之外開啓一個監聽器，轉發 HTTP 和 WebSocket（包括官方 UI 的
/api/remote.mux長連接），並處理 Host/Origin 重寫和頭部剝離。當上遊服務不可用時，它返回 502 錯誤。 - 自簽名 HTTPS 與 CA 信任：默認生成
DSH LAN Guard CA併爲當前網卡地址簽發證書。更換 IP 只會重新簽發葉子證書，無需重新信任 CA。 - 二維碼訪問與設備配對：提供掃碼入口。首次通過訪問密碼的設備會被配對，獲得 HttpOnly 設備身份 Cookie。可以在“已授權設備”中查看、撤銷或永久阻斷設備。
- 雙密碼機制：使用 PBKDF2-SHA256（600,000 次迭代）。訪問密碼用於登錄設備，管理員密碼用於解鎖設置頁面的管理控制台。默認提供無密碼鏈接，但建議設置密碼。
- 官方頁面內設置：所有配置在 DSH 官方設置頁面的“局域網訪問”欄目中完成，不替換官方佈局。
安裝與啓用¶
使用官方命令安裝插件：
dsh plugin --profile web add dsh-lan-guard@latest
安裝完成後，需要重啓 DSH 才能使插件生效。
配置與使用¶
在 DSH 官方設置頁面的“局域網訪問”欄目中，通常包含四個標籤頁。配置步驟如下：
- 設置訪問密碼：在“安全認證”標籤頁下，設置訪問密碼（建議至少 8 個字符）。在設置密碼之前，門控會拒絕所有設備訪問。
- 檢查監聽範圍：在“連接與證書”標籤頁下，確認監聽範圍（默認爲 LAN
0.0.0.0）。該設置決定插件對外發布的 IP 地址，以及自簽名證書覆蓋的地址。 - 掃碼訪問：在“掃碼訪問”標籤頁下，掃描生成的二維碼。在手機瀏覽器打開鏈接時，首次需要信任
DSH LAN Guard CA證書，隨後輸入訪問密碼並命名設備。
注意事項¶
- 遠程設備默認只讀：遠程設備默認
adminPolicy: local_only，無法修改插件設置。如需手機端管理，需在桌面端修改策略。 - 需要重啓：安裝後必須重啓 DSH 才能生效。
- 無需手動配置：插件運行不需要手寫配置文件。
結語¶
dsh-lan-guard 爲開發者提供了一個無需複雜網絡配置即可在局域網內使用 DSH 的方案。其設備配對和阻斷機制提供了基礎的安全邊界。更多細節請參考 GitHub 倉庫 或 插件目錄。
