dsh-auth-lock

DeepSeek Harness Web 部署默认没有内置认证层，任何发现地址的人都可以直接调用 API、订阅 SSE 流、连接 WebSocket，或使用第三方插件注册的服务端路由。dsh-auth-lock 通过 WebServer 策略扩展点注入统一的密码认证策略，自动覆盖 HTTP、SSE、WebSocket 及动态注册插件路由，无需逐路由编写中间件。\n\n安全方面，密码使用 scrypt（N=32768, r=8, p=1, 随机 128 位盐）派生，并通过恒定时间比较验证以抵御时序侧信道。会话令牌为 256 位随机值，Host 内存仅保留 SHA-256 摘要。Cookie 为 HttpOnly + SameSite=Strict，TLS 下自动附加 Secure。远程地址每 15 分钟窗口限 8 次失败尝试，单地址派生串行执行以拖慢暴力破解。首次设置默认仅允许本地回环，登录后页面自动重载或返回原路由，使 API、SSE、WebSocket 客户端无感切换新 Cookie。\n\n它是一个面向单用户、零运行时依赖的插件，不提供多用户、角色、OAuth/OIDC 或集群会话。如果你通过内网、SSH 隧道或反向代理跑 DSH Web，只需要一个 4 到 16 位密码锁住整个 WebServer 入口，它就是一个开箱即用的方案，附带响应式登录界面和内置密码管理面板。