dsh-remote-portal

---

DeepSeek Harness 只监听 127.0.0.1，用一次性启动令牌认证——离开这台电脑就用不了。本插件不改动 dsh 的任何机制，只在它前面加一道自己的门：独立端口上的网关，先验密码或一次性配对码，再转发给本机 dsh。

功能

安装

从 DeepSeek Harness 安装（推荐）：插件 → 添加插件 → 填入

https://github.com/tsukii12/dsh-remote-portal

从命令行装：

git clone https://github.com/tsukii12/dsh-remote-portal
cd dsh-remote-portal
./install.sh            # macOS / Linux，装进 desktop + web profile
.\install.ps1           # Windows

使用国内镜像：

dsh plugin --profile desktop add \
  https://ghfast.top/https://github.com/tsukii12/dsh-remote-portal/archive/refs/heads/master.tar.gz

装完**重启 DeepSeek Harness **即可。

首次必做一步：侧栏 → 远程访问 → 设置访问密码。在此之前门户不会监听局域网。

更新

先移除，再安装：

dsh plugin --profile desktop remove dsh-remote-portal
dsh plugin --profile desktop add    https://github.com/tsukii12/dsh-remote-portal

Web端把 --profile desktop 换成 --profile web。

更新后必须重启 dsh：宿主侧代码（index.js、lib/*）只在启动时加载，光刷新页面只换到客户端一半。

锁定版本：

dsh plugin --profile desktop add https://github.com/tsukii12/dsh-remote-portal#v0.6.0

版本记录见 CHANGELOG.md。

公网访问

在你自己的服务器上跑中转（单文件、零依赖）。一条命令：

curl -fsSL https://raw.githubusercontent.com/tsukii12/dsh-remote-portal/master/tools/deploy-relay.sh | sudo bash

国内网络：

# 推荐：ghfast 代理
curl -fsSL https://ghfast.top/https://raw.githubusercontent.com/tsukii12/dsh-remote-portal/master/tools/deploy-relay.sh | sudo bash

# 备用：jsDelivr（可能滞后数小时）
curl -fsSL https://cdn.jsdelivr.net/gh/tsukii12/dsh-remote-portal@master/tools/deploy-relay.sh | sudo bash

脚本会自己下载 relay.mjs，探测环境、逐项提问（回车即默认），完成安装并注册 drp 命令。

交互式设置：

⚠️ 选 HTTP 时，访问密码和全部会话内容（聊天、文件、命令输出）在公网上是明文。只有完全可信的局域网才该这么做。

管理命令：

$ drp
service     running · autostart on
uptime      2h 14m
agent port  1.2.3.4:9443 (TLS)
visitor     0.0.0.0:443 (TLS, self-signed)
endpoint    tls://1.2.3.4:9443
relay       reachable
tunnel      connected · 2 streams
traffic     in 8.0 MiB · out 7.9 MiB · 2140 requests · 3 clients
public      https://1.2.3.4/__t/ab12cd34ef56/

更新中转：再跑一次同一条命令即可——令牌与证书会复用，端口不会漂移。

面板里「中转服务器」只填 IP:端口（如 1.2.3.4:9443），协议自动识别（先试 TLS，失败回退明文）。完整部署见 docs/DEPLOY-SERVER.md。

安全

• 门户是唯一的门：没设密码就不会监听非回环地址。
• 会话 Cookie dsh_portal：HttpOnly、SameSite=Lax、绑定 UA，TLS 下自动 Secure。
• 门户自己的每个响应都带严格 CSP / X-Frame-Options: DENY；被代理的 dsh 响应一个字节都不改（有测试钉死）。
• 上游认证用宿主凭据在后台换取，令牌不出本机、不落日志、不回显面板。
• 明文 HTTP 下同网段可抓包看到 Cookie；介意就配 TLS 或走中转。

详见 SECURITY.md。

常见问题

远程端某些按钮点了没反应？

多数是只在桌面端有意义的入口（在资源管理器 / VS Code 中打开等）。

局域网打不开？

① 面板状态是否「运行中」；② 手机与电脑是否同一网段；③ 防火墙是否放行端口；④ 监听地址是否为 `0.0.0.0` 或 `auto`。

公网地址打不开？

一台中转可以接多台 dsh：`drp token add` 生成新令牌，`drp tokens` 列出所有隧道，`drp urls` 列出所有地址。

drp status 看隧道状态：offline 说明家里没连上中转（检查 9443 是否放行、令牌是否一致）；connected 但 503 说明反代缓冲（见部署文档排障表）。

撤销设备会踢掉 dsh 会话吗？

不会。撤销只让那台设备的门户 Cookie 失效，底层 dsh 身份是多设备共享的。

测试

node --test → 82 个测试，约 75 秒，网络路径不 mock：门户用真实监听端口，隧道用真实中转 + 真实 agent（覆盖 HTTP、HTTPS、WebSocket），二维码由独立解码器校验，移动层跑在测试自己启动的 dsh 上。缺少 Chrome 时浏览器测试会显式跳过。

兼容性

文档

• ARCHITECTURE.md — 设计与实测宿主事实
• docs/DEPLOY-SERVER.md — 服务端部署（systemd / Caddy / nginx / TLS）
• CHANGELOG.md — 逐版本记录
• SECURITY.md — 安全策略

已知限制

• 只在同一网络内可达，公网访问需要服务器进行中转；不做 NAT 穿透。

许可

MIT