dsh-web-login

admin-security 更新于 2026.10.03

在终端中运行以下命令：

dsh plugin install liyang52520/dsh-web-login

将以下提示词粘贴到 DeepSeek Harness 对话框中：

在已安装 pnpm 的环境中执行 dsh plugin install liyang52520/dsh-web-login（源码：https://github.com/liyang52520/dsh-web-login），安装后重启 dsh 以加载插件。

插件介绍

把 DeepSeek Harness 暴露在公网或内网可访问地址时，任何人打开首页都可能拿到启动令牌并进入控制台。dsh-web-login 在 Harness 之前加一道独立密码门禁：接管 / 与 /index.html，未通过验证的请求不会转发到 Harness，也不会发放 launch token；Harness 自带的认证与 /api/* 路径保持原样，只是在最外层多了一层「先证明你知道密码」。

首次访问会走一次性设置流程：服务启动时打印 setup token，只有持有该令牌的人才能设定初始密码，避免公网扫描器抢先占坑。之后支持可配置的会话（记住我 30 天、否则 12 小时）、按真实客户端 IP 的失败锁定、审计日志（记录登录、改密、锁定与登出，从不记录密码本身），以及 scrypt 存密、HMAC 签名的会话 Cookie 绑定主机。登录后可在 Harness 设置里的「登录门禁」改密、重置或登出；需要本机 Agent 自动化时还可选用「直连回环视为已验证」等策略，但需理解其安全边界。

适合在 systemd、Docker 或反向代理后部署 Harness、希望用简单密码挡住随意扫端口和误分享链接的人。它主要防的是「拿到 URL 但不在你网络路径上的第三方」，不能替代 HTTPS 防窃听；敏感环境仍建议 SSH 隧道或 TLS，并审慎开启 trustDirectLoopback。