🧩

dsh-trusted-proxy-auth

admin-security 更新于 2026.09.25

在终端中运行以下命令：

dsh plugin install lukepoo101/dsh-trusted-proxy-auth

将以下提示词粘贴到 DeepSeek Harness 对话框中：

在 DeepSeek Harness 的 Web 配置档案中执行 dsh plugin install lukepoo101/dsh-trusted-proxy-auth，或按仓库说明从 https://github.com/lukepoo101/dsh-trusted-proxy-auth 安装并固定已审查的 tag 或 commit 后重启服务。

插件介绍

把 DeepSeek Harness 放在 Traefik、Keycloak 等反向代理后面时，浏览器用户往往在代理层已经完成 OIDC 登录，但 DSH 仍只认自己的启动令牌和 Cookie。直接改 DSH 本体或在前端信任任意 Host 都不稳妥。dsh-trusted-proxy-auth 在认证边界上增加一条独立路径：可信代理在已认证请求里注入私有共享密钥头，DSH 据此将请求视为已登录；头缺失或错误时，原生 loopback/SSH 浏览器认证行为完全不变。

插件不实现 OIDC/JWT，也不替换传输层或修改安装目录内的文件。它挂钩 DSH 已有的 requestRejection 与 authorizeIndex 等扩展点，用 crypto.timingSafeEqual 校验密钥，且绝不会把上游 403（Host/Origin/DNS 重绑定防护）变成成功。对通过代理认证的访问，还会在索引页注入 ownsHost 引导，让 Models 目录与插件配置等主机级设置能持久化，而不是落在「此浏览器中设置不可用」的内存模式。

许多第三方插件（例如内置插件市场的 dshmarket）对变更类路由做严格 loopback 检查；公网 Host 下这些路由会失败。本插件在验证密钥后，先对真实入站头执行与 DSH 一致的信任围栏检查，仅对合法代理请求将 Host/Origin 规范化为 loopback，既让下游插件照常通过检查，又避免在反向代理上盲目改写 Origin 而削弱全站 CSRF 防护。

适合已在内网或隔离网段部署 DSH、由反向代理统一做身份认证，并愿意用环境变量配置共享密钥、配合防火墙限制 DSH 端口仅对代理可达的运维与平台团队。密钥轮换、紧急 SSH 隧道原生登录等运维路径在 README 中均有说明；配置错误时插件会 fail-closed，避免「半开认证」启动。