dsh-fakeip-http

在 Clash、sing-box 等 Fake-IP 转发器配合 TUN 的环境里，DNS 往往把几乎所有域名解析成 198.18.0.0/15 这类基准测试段地址，再由隧道还原到真实目标。DeepSeek Harness 内置的 web_fetch 会在发请求前检查「完整 DNS 应答是否全是公网单播地址」，于是这些合成地址会被 SSRF 防护直接拦下，而 curl 或普通 fetch 却不会做同样校验，于是出现「浏览器能开、Agent 的 web_fetch 不行」的割裂。

本插件不替换 fetch 提供者，也不把合成网段写进全局白名单。它挂接内置 HttpFetchProvider 的 resolveAddresses：先走原有校验；只有抛出 WEB_BLOCKED_URL 时，才在本地再解析一次，且仅当每一次 A/AAAA 记录都落在用户配置的合成 CIDR 内、主机名符合 Fake-IP 转发条件时，才返回这些地址供连接固定。回环、私网、链路本地、组播、文档地址、保留段以及 IP 字面量 URL 依旧拒绝；混合真假应答、本地后缀域名等也不进入兜底路径。

适合已经在桌面或 Web 版 Harness 上使用 Fake-IP + TUN、又希望 Agent 能稳定用 web_fetch 拉公网页面的开发者与高级用户。你需要知道自己的转发器实际下发的 IPv4/IPv6 合成段并在配置里对齐；默认关闭，由补丁显式启用，避免未预期地放宽防护。若你从不使用 Fake-IP，或只关心 web_search、MCP 等其他 HTTP 客户端，则无需安装。