dsh-remote-auth

每一次 dsh web 进程启动时都会随机生成一个 launch token，供浏览器换取 30 天有效期的签名 cookie。本机使用自然顺畅，但若通过 Tailscale 或家庭 Wi-Fi 从 iPad、手机或另一台电脑访问，唯一的办法就是 SSH 进服务器、翻日志找出带 token 的 URL。dsh-remote-auth 正是为消除这一步而生。

插件在 dsh webserver 上注册一个公开的 /mobile-auth 路由。从任意设备打开该页面，可选输入 PIN，页面即显示二维码和一条与当前进程、当前访问 authority 严格对齐的授权链接。点一下或扫一下，浏览器便完成 cookie 授权；cookie 由持久化签名密钥签发，dsh 重启不会踢掉已授权设备，30 天周期自动刷新。安全层面，访问门禁采用 Host 名单与源 IP CIDR 的 OR 语义放行（两者皆空则仅允许回环，fail closed），PIN 连错 5 次按源 IP 锁定 60 秒，PIN 本身在任何页面上都不会显示。

适合在多台屏幕、多种网络环境（局域网、Tailscale、远程 Wi-Fi）下运行 dsh web 的开发者，只需记住一个固定地址、扫一个码，再也不用翻日志找 token。