🧩

dsh-web-fetch-allowlist

admin-security 更新于 2026.10.17

在终端中运行以下命令：

dsh plugin install icceey/dsh-web-fetch-allowlist

将以下提示词粘贴到 DeepSeek Harness 对话框中：

在 DeepSeek Harness 中打开 Plugins → Add plugin，填入 https://github.com/icceey/dsh-web-fetch-allowlist 或执行 dsh plugin install icceey/dsh-web-fetch-allowlist；若提示 restart-required 请重启或重新启用插件。

插件介绍

DeepSeek Harness 内置的 web_fetch 会拒绝解析内网与保留地址段，这是抵御 SSRF 的合理默认，但在透明代理、Clash/mihomo fake-IP 等场景里，合法域名可能被解析到这些网段，请求会在校验阶段被直接拦下。内置能力既不能关闭，也无法按环境微调放行范围，于是需要一层可配置的补丁。

本插件在流程上非常克制：先完全走内置 provider 的解析与校验；只有抛出 WEB_BLOCKED_URL 时，才对照你配置的 CIDR 白名单再判一次。命中则返回解析结果，不命中则把原错误原样抛出，错误码不变。超时、体积上限、重定向、代理、NAT64、字符集等仍由内置实现负责，插件只在「被 SSRF 规则挡住但你认为应当放行」时介入。

默认白名单覆盖 Clash/mihomo 常用的 fake-IP 段 198.18.0.0/15；若你未改过 fake-IP 配置，安装后往往无需再改设置。需要自定义时，可通过 allowCidrs 或环境变量 DSH_WEB_FETCH_ALLOW_CIDRS 替换默认值，并支持 IPv4/IPv6。若未来 DSH 升级导致内部结构变化、内置 provider 不可用，插件会保持安静、不干扰原有行为。

适合在本地或企业网络里依赖透明代理、TUN 或 Clash 系工具，又希望继续用 Harness 拉取网页或 API 的开发者与运维同学；不适合把它当作绕过 SSRF 防护的通用工具——它只扩展你明确信任的地址段。