dsh-auth-gate

DeepSeek Harness 的默认安全模型建立在 loopback 绑定与请求头校验之上，一旦部署到 Docker 容器、反向代理、云服务器或团队共享实例中，这道防线便形同虚设——任何能直接 HTTP 连接到端口的调用者都拥有完整的 Agent 控制权限。dsh-auth-gate 为此补上了缺失的认证层：在 HTTP 与 WebSocket 路由上强制 Bearer Token 或登录页会话，对审批提示施加按会话限流，并在内部契约变化时 fail-closed，确保未认证请求不会穿透。插件以 bearer、session、both 三种模式覆盖脚本调用与浏览器访问，登录尝试按源地址限速，Cookie 携带 HttpOnly 与 SameSite=Strict 属性，每次重启自动失效旧会话，凭据始终保存在环境变量中而不写入任何补丁文件。适合在 Docker、Nginx/Caddy 反向代理、CI 运行器等非本地回环环境下运行 Harness 的开发者，以及需要为自动化脚本提供 Token 鉴权、同时为团队成员提供登录页的团队。它不解决用户级沙箱与审计日志问题，但作为纵深防御的第一道门，将"裸奔"的控制面变为有身份、有限流、有退出机制的安全服务。