dsh-qr-share

桌面端已经登录进 DSH Web 会话，想让手机加入同一对话，以往只能手动复制一长串带 token 的 URL，既容易抄错也不方便分享。dsh-qr-share 把这件事压缩成一次点击：侧边栏底部出现一个二维码按钮，点开即弹出二维码和纯文本 URL 双重呈现，手机一扫，服务端完成 BrowserAuth 的 token 换 cookie 流程（303 重定向），直接落到同一会话。

URL 在渲染时从 window.location.origin 派生，自动匹配桌面端实际使用的主机地址——无论是局域网 IP、公网域名还是反向代理子路径——无需任何环境变量或额外配置。

安全方面，/qr/share 路由与 /api 使用同一套 Host 可信门控（非可信 403、cookie 无效 401）。启动 token 为一次性：首次交换后即失效，所得 cookie 绑定 authority 并设置 HttpOnly + SameSite=Strict，任何跨站 frame 均无法触达该路由，开箱即可用于生产环境。

适合频繁在桌面浏览器与手机之间切换的 DSH Web 开发者、需要局域网内协作的小团队，以及所有希望获得零配置扫码即登录体验的用户。