dsh-totp-proxy

把 DeepSeek Harness 接到公网或半公网时，核心签发的 dsh-auth-* 是自包含的 bearer cookie：浏览器一旦拿到，在过期前往往还能直接调 API，即便你更希望每次访问都经过二次验证。dsh-totp-proxy 在 DSH 前面加一层独立反向代理，用 TOTP 或固定 token 把关，再把真正的认证 cookie 留在服务端，浏览器只拿到可吊销的 dsg_session。

每个 HTTP 请求和 WebSocket 升级都会先经代理校验；在服务端删掉 session 即可立刻失效，而不是只能等 cookie 自然过期。插件可随 Cordis 集成，也可单独用 Node.js 22+ 运行，无额外运行时依赖；支持 totp、token 或两者任选（both），凭据首次运行生成并落在本地目录，连续失败会按 IP 临时锁定。

它适合已经用 Nginx 等反代、并愿意把 DSH 只监听本机 3080、只把代理 3090 暴露给反代的自托管用户。README 明确提醒：设计面向公网场景的思路，但不要真把未加固的端口直接扔到公网；配置页与 TOTP 二维码绑定本机访问，无图形界面时可借 SSH 端口转发完成初次绑定。

若你接受「session 在内存、重启需重登」「dsg_session 被窃仍可能在 TTL 内重放」等边界，并配合 HTTPS、HttpOnly 与较短 TTL，这套方案能在不改动 DSH 核心的前提下，给 Harness 补上基于 TOTP 的访问控制层。