dsh-login-gateway

dsh 的 Web UI 默认只监听 127.0.0.1:3080，外部访问被挡在门外——这是好事，也是远程使用的硬伤。直接改 dsh 监听 0.0.0.0 等于把整个控制台裸奔在公网上，任何人都能操作。dsh-login-gateway 的思路很克制：不动 dsh 一行配置，在旁边另开一个登录入口，访问者先通过用户名密码认证，再以全量反向代理把 HTTP 和 WebSocket 原样送到 dsh 的 loopback 端口，功能零缺失。插件零运行时依赖，仅用 Node.js 内置模块，装进 profile 重启即生效，卸载后 dsh 与安装前完全一致。

安全层面考虑得相当周全：IP 与用户名双维度爆破锁定、全局认证节流防 CPU 打满、scrypt 恒定时间哈希防时序侧信道、会话绑定 User-Agent 使嗅探到的 Cookie 在异端不可复用、审计日志全程留痕。HTTP 直连场景下可一行生成自签证书让门卫自带 TLS，彻底消除明文嗅探风险。对 dsh 0.1.2 引入的宿主浏览器鉴权机制也做了透明适配——启动令牌只出现在门卫到 dsh 这一跳，浏览器全程不可见，Cookie 失效时自动重跑交换，用户无感知。

适合的场景很明确：你在 VPS、NAS 或公司内网跑着 dsh，想从手机、笔记本或另一台设备安全地打开管理面板，又不想忍受额外代理服务的中间层。轻量、零依赖、装完即用，是 dsh 最自然的远程访问方案。