dsh-login-gateway

DeepSeek Harness 的 Web 界面默认在本机环回地址上提供 HTTP 服务，浏览器凭启动 URL 里的令牌换取签名 Cookie。这条 URL 本质上是一次性 bearer 凭证：谁拿到谁就能操作 Harness。本机开发很顺手，一旦通过隧道或反向代理把端口暴露到公网，这种认证方式就不够用了。

dsh-login-gateway 在不改动 Harness 核心的前提下，在 Web UI 前面加一层独立端口的登录网关。用户用用户名、密码和验证器应用的一次性 TOTP 码登录，网关校验通过后签发自己的会话 Cookie，并把其余 HTTP 请求与 WebSocket 升级透明转发到上游 Harness，同时在服务端完成 Harness 启动令牌与 Cookie 的交换，浏览器既看不到启动令牌，也拿不到 Harness 自身的认证 Cookie。

首次运行可在本机或通过一次性 setup 令牌创建首个账号并绑定 TOTP；后续账号可在配置中声明。网关对失败登录按客户端地址与用户名做限流，会话与限流状态在进程内存中维护，适合把 Harness 留在环回、只对外暴露网关端口的部署方式。

适合需要通过 Cloudflare Tunnel、Caddy 等把 Web UI 安全对外提供、又希望用密码管理器与双因素认证守护单操作者访问的个人或小团队。它提供的是单操作者门禁，不是多租户权限体系；TLS 应在隧道或反代侧终止，Harness 本体仍应只监听本机。