dsh-auth-plugin

DeepSeek Harness 的 Web GUI 默认对所有访问者敞开，一旦将实例暴露在局域网甚至公网，任何人都能直接使用模型接口，这对团队环境来说是一个不容忽视的风险。dsh-auth-plugin 就是为堵住这个缺口而生的：它以单文件 Cordis 插件的形式注入 Web 服务，在请求到达前端之前统一拦截，未认证用户会被重定向到登录页，已认证用户则透明放行，原有 SPA 页面和 API 行为完全不受影响。

登录方式覆盖了几种常见场景。用户名密码登录使用 scrypt 哈希存储，零外部依赖；Solana 生态的用户可以用 Phantom 或 Solflare 通过 ed25519 签名完成登录，配合强制公钥白名单杜绝任意钱包；EVM 用户则能借助 MetaMask 的 personal_sign 走同样的 challenge-response 流程（需可选安装 @noble 纯 JS 库）；如果团队更习惯第三方身份，插件还支持通用 OAuth 2.0 授权码流程，内置了 GitHub、Google、Discord、GitLab、Microsoft、Bitbucket 六套模板，填凭据即可接入，也支持任意标准 OAuth 服务的显式端点配置。所有会话统一使用 HMAC-SHA256 自包含令牌，通过 HttpOnly 加 SameSite=Strict 的 Cookie 传递，登出时服务端吊销并在内存中拉黑，防止被窃取的 Cookie 被复用；钱包和 OAuth 的 nonce/state 均为一次性消费，过期即删，杜绝重放。

整个插件的核心运行时只依赖 Node 内置的 crypto 模块和全局 fetch，不需要 pnpm、不需要改 package.json，把文件放进 profile 目录并在配置中声明几行即可生效。它适合那些需要把 DeepSeek Harness 从本地单机工具升级为团队共享服务的小团队，尤其是身处 Solana 或 EVM 生态、希望用自有链上身份作为登录凭据的开发者，以及希望用公司已有的 GitHub 或 Google 账号体系统一管控访问权限的组织。