dsh-remote-access-cidr

dsh-plugin-remote-access

给 DeepSeek Harness（DSH）桌面版用的插件：把本机 DSH 的网页界面只开放给你指定的网段 （默认 Tailscale 的 100.64.0.0/10），于是手机或另一台电脑也能用上它。

• 不绑 0.0.0.0：只监听「允许网段」里属于本机的地址，网段外的对端一律 403。
• 不写死地址：网段、监听地址、端口、上游、落地文件全是配置项。
• 两种进入方式：复制带令牌的网址；或者设一个密码，手机开裸地址输一次（之后 30 天免密）。
• 手机界面能看：「远程UI布局」可选手机 / 电脑 / 自动；手机布局只作用于远程页面，本机界面一个像素都不动。
• 手机上的外观/字号只改手机：「UI 设置」把外观与字号存进本插件配置，每次打开远程页面只投影到本页 DOM， 不写电脑的设置文档。DSH 0.2.1 起官方设置会跨端写宿主，因此「工作步骤展示 / 显示代码工作视图 / 性能与用量」 不再由本插件远程覆盖（它们跟随电脑设置），设置页里会如实写明。
• 适配 DSH 0.2.1：engines.dsh = ^0.2.1-rc.1；上游地址自动读 webServer.getOrigin()， 跟随桌面端系统分配端口与原生 HTTPS；Host/Origin 改写在两种协议下都正确。
• 在设置页里改：保存即热重载（原地关掉旧监听、按新参数重开），不用重启 DSH。
• 配置只有一个来源（1.5.0 起）：只认本用户的 $DSH_HOME/remote-access-config.json。 插件不读也不写共享 profile 的 cordis.patch.yml；设置页走本插件自己的 /__remote_access__/config 端点读写这份 JSON。多个用户共用一份 profile 时端口各用各的， 被占用还会自动换一个空闲端口并记住。
• 失败可见：无论成功失败都会写一份自诊断文件，看不到 DSH 日志时也能定位。

安装

三种方式，选一种即可；装完重启一次 DSH。

版本要求：本版（1.4.0 起）只适配 DSH 0.2.1+（engines.dsh = ^0.2.1-rc.1， 覆盖 0.2.1-rc.1 / 0.2.1-rc.2 与后续 0.2.x）。DSH 0.2.0 及更早版本请用 1.3.8。 dshmarket 会按这个字段显示「支持/不兼容」，安装前也能看到。

发布记录：GitHub Releases （每个版本的说明与 APK）· npm （插件包，latest 就是当前版本）· 更新日志。

① 插件页（推荐） —— 打开 DSH →「设置 → 插件 → 添加插件」，填下面任一：

⚠️ npm 上那两个旧名字 —— dsh-remote-access-cidr（我们自己发的，停在 1.0.0）和 dsh-remote-access（别人的包）—— 都别再用来安装。当前名字是 dsh-plugin-remote-access： https://www.npmjs.com/package/dsh-plugin-remote-access。 （页面上那个 0.0.0-stage 是 npm 给新包名自动建的占位版本，latest 才是当前版本，不用管它。）

📛 改名（1.2.0）：dsh-remote-access-cidr → dsh-plugin-remote-access。 bundle 的插件行是按包名装载的，所以旧来源装的那份不会自己跟过来：到「设置 → 插件」里把旧条目 移除，再按新名字添加一次。移除有可能一并清掉 profile 里 cordis.patch.yml 中 id: remote-access-cidr 那一行的 config:（网段 / 密码 / UI 设置都在里面）—— 想留参数，先把它抄下来，装好再粘回去。

⚠️ 1.4.1 的 id 迁移（重要）：DSH 0.2.1 自己新增了一个 loader 行 id: remote-access（@deepseek-ai/dsh-api-remote-access）。本插件 1.4.0 的行 id 也是 remote-access，两者重名会让官方的 remoteAccess 服务不挂载，桌面壳启动时报 desktop welcome: Web request failed。1.4.1 起插件行与设置命名空间改为 remote-access-cidr。升级后把旧 cordis.patch.yml 里 id: remote-access 的整段 config: 挪到 id: remote-access-cidr 下面（或者到设置页重新填一遍参数）。

② 命令行（等价于插件页那一步；DSH 正在运行时 profile 写锁会占住）：

dsh plugin --profile desktop add dsh-plugin-remote-access
# 想跟仓库最新代码：dsh plugin --profile desktop add github:Mzy123l/dsh-plugin-remote-access
# CLI 若不认这两种写法，就填本机目录的绝对路径

③ GitHub 一键取代码 —— 想把源码放到本机再装：

irm https://raw.githubusercontent.com/Mzy123l/dsh-plugin-remote-access/main/install.ps1 | iex

脚本只负责把代码取到一个固定目录（默认 %LOCALAPPDATA%\dsh-plugins\dsh-plugin-remote-access）， 装的动作仍然交给 DSH 自己（插件页填那个目录）。需要代理时：

$s = irm https://raw.githubusercontent.com/Mzy123l/dsh-plugin-remote-access/main/install.ps1
& ([scriptblock]::Create($s)) -Proxy http://127.0.0.1:7890

为什么不一步装完：DSH 的插件安装（写 profile 的 package.json / cordis.patch.yml、跑包管理器） 只能由 DSH 自己做（插件页，或让 agent 用 plugin_manager 工具），手工改 profile 容易把它弄坏。

之后改参数都是热重载。改代码分两种：client.js（浏览器半区）刷新页面就会重新拉取； index.js（宿主半区，含新增配置字段）要重启一次 DSH 才会加载。

安卓 App（APK，可选）

不想在手机浏览器里手打地址的话，可以用配套的外壳 App：

下载最新 APK （全部 Release · 源码在 android/ · 说明见 android/README.md）

链接指向 Releases 而不是某个固定文件名：APK 名形如 dsh-plugin-remote-access-<版本>.apk， 每抬一次版本都会换名字，钉死某个文件名迟早会落后。要装具体某一版，进 Release 页挑。

APK 与插件不总是同一个号：APK 只在「动了外壳代码」的那一版重发。 当前插件是 1.4.4，APK 仍是 1.4.1（versionCode 16；这一版只有宿主/网页半区改动， 外壳代码没动，不用重装 APK）。

App 名字就叫 DSH，装完图标是那个蓝色看板娘（自适应图标，圆形/方形启动器都正常）。

• 首屏就是地址页：只填 IP或域名:端口（不用写协议，例 100.64.0.3:19388），HTTPS 一个勾决定；
• 连不上 / 填错 / 电脑没开时自动退回地址页，网页上左侧那枚小胶囊里永远有「设置」——断网也改得回来；
• 返回键整个归外壳管：先关网页里的抽屉 / 右栏 / 设置面板，再网页后退，最后退到后台（不退出 App —— 退到后台才有下面那条「模型提问时提醒你」；真要退出，从最近任务里划掉即可。 细节见 android/README.md）；
• 模型提问 / 一轮结束都从屏幕顶部弹出来（横幅 / heads-up，像收到一条微信）：App 退到后台后由一条 前台服务盯着，只在「电脑上的 DSH 窗口不可见（收进托盘 / 最小化 / 页面已关）」且你不在看 App 时才弹； 见下面「手机通知（提问 / 一轮结束）」；
• 网页仍是电脑上那份 DSH：手机布局、远程UI布局、UI 设置 全由本插件的配置决定；
• 只申请 INTERNET / ACCESS_NETWORK_STATE / POST_NOTIFICATIONS / FOREGROUND_SERVICE(_SPECIAL_USE)， 自签（CN=DSH Remote），同签名的后续版本可直接覆盖安装。

装的时候要允许「安装未知应用」。电脑那端仍然是本插件在监听（默认 19388），App 只是把网页装进壳里。

手机通知（提问 / 一轮结束）

两类通知，各有一个开关、各走一条通道，互不影响（都在「设置 → 远程访问 → 手机通知」里）：

两类共用的触发条件与原来一致：电脑上的 DSH 窗口不可见（收进托盘 / 最小化 / 页面已关， 由电脑上那一页自己回报，25 秒心跳）且你没在看手机 —— 两个条件都满足才弹，屏幕上从顶部弹出横幅 （heads-up，像收到一条微信：会响、会震、几秒后收进状态栏），点通知回到 DSH。

• 「跑完了」那条的正文只写结论与用时；异常那条写分类 + 原因是哪个错误（把 DSH 自己的错误码 翻成人话，例如 余额 / 额度不足：insufficient balance），绝不带模型的回答内容 （可能很长，也不该出现在锁屏上）。
• 子任务（subagent）跑完不打扰你：只有「这一轮」的主流程结束才算数。
• 结束的判定走 DSH 自己的事件（agent/status 的 running → idle），并带 2 秒防抖 —— 循环里的中间态（维护 / 压缩）不会被误报成「跑完了」。
• 刚跑完那一条有 5 分钟的新鲜窗口：你「在页面上看着它跑完、然后切出去」，照样能收到。

要弹出横幅，Android 那边有四件事必须同时成立，这一版都落实了（细节见 android/README.md）：通道是 IMPORTANCE_HIGH、 通知本身是高优先级、每次都发一条新通知（更新旧通知不保证再弹）， 而常驻的「后台待命」那条故意留在低重要性（它不弹、不响，只是前台服务的本职）。

只在状态栏看到一条不弹的通知？ 那多半是常驻的「后台待命」那条 —— 它是前台服务的本职， 不弹是对的。真正会弹的是「模型提问」/「任务结束」那两条。

通知发了、就是不弹横幅（国产 ROM 必看）

1.3.5 起，那条通知上带一个「去开启横幅」按钮，点它直接跳到「模型提问」通道的设置页 —— 厂商那一层的开关就在那一页里。**小米 / Redmi（MIUI、HyperOS）**上要打开的是这几个（按重要性排）：

其余厂商（华为 / 荣耀、OPPO / vivo / 一加 / realme）位置不同，但要找的都是同一件事： 「允许这个应用在后台弹窗 / 显示横幅」。App 自己能做的只有两件：把通道重要性设成最高、 给一个直达设置页的按钮；剩下那些开关系统不交给应用。

怎么确认手机这一端是通的：把 App 退到后台，到「设置 → 远程访问」底部看那行自检 —— 它现在会写 手机端 App 1.3.5：通知已开、横幅通道=高 ✓，或者直接告诉你差哪一项 （手机端 App 1.3.5：通知已开、横幅通道=2（横幅弹不出来 → 去系统设置里打开 DSH 的通知/横幅））。 这行字是手机自己每次轮询时报给电脑的，所以不用猜。

剩下两种代码管不了：开着勿扰模式；以及 App 就在前台（那时问题卡片本来就在眼前，不重复打扰）。

分工是这样的（三件事各归各的，谁也不猜谁）：

几条刻意的设计：

• 判定在宿主，打扰在手机。宿主只回答两个事实（有没有待答选择、电脑窗口可不可见）， 弹不弹由 App 决定 —— 它才知道自己在不在前台。所以「你正看着手机」时绝不会响。
• 窗口可见性由页面自己报：窗口收进托盘 / 最小化只有渲染进程知道，宿主看不到 Electron 的窗口状态。 报告带 25 秒心跳，宿主 150 秒收不到就按「不可见」处理 —— 失效方向是多提醒一次， 不是「该提醒时没提醒」。
• 两条开关（设置页里能改）：
  • 「提问时通知手机」notifyOnChoice —— 关掉即不再上报待答状态，App 也就不再提醒；
  • 「仅窗口不可见时通知」notifyOnlyWhenWindowHidden —— 关掉则只要 App 在后台就提醒 （电脑窗口开着时也会响，适合把 DSH 窗口常年放着的用法）。
• 权限：Android 13 起通知要用户点头，外壳在第一次退到后台时问一次；点了「不允许」就不再问 （想开去系统设置里打开「DSH → 通知」）。App 在前台时那条常驻通知也会消失， 它只在「App 在后台待命」时存在。
• 没收到通知时先看哪两处：
  1. 手机「设置 → 远程访问」底部那行自检 —— 它写着本页跑的是哪一版 client.js、 以及电脑上的通知接口在不在（... 电脑上的插件已支持提问通知 ✓ / ... 电脑上的插件还没有通知接口 （1.3.1 起才有）→ 更新插件并重启一次 DSH）；
  2. 手机状态栏那条常驻通知的文案 —— 它按失败原因说话：电脑上的插件版本太旧… / 登录凭据已过期：打开 App 重新输一次访问密码 / 连不上电脑上的 DSH，正在重试…。 这两处合起来能分清「代码旧 / 宿主旧 / 开关关了 / 真的连不上」，不用再猜。 两处都对、问题也确实在等，但就是不弹横幅时，去系统设置里看「DSH → 通知」： 「模型提问」通道别关成静音、别关掉「横幅 / 悬浮通知」开关，也别开着勿扰。
• 不依赖网页活着：长轮询是前台服务自己发的（带着 WebView 里那张放行 cookie）， 所以网页被系统掐掉也不影响提醒；反过来，电脑关着时它会退避重试，连续 5 分钟连不上就自己收工。
• 这一组是新增的 Host 配置字段，而宿主的配置 schema 在 DSH 启动时读入：第一次升级到这一版要重启一次 DSH。

使用

方式一：设访问密码（推荐，手机不用复制长串）

1. 「设置 → 远程访问 → 访问密码」填 4–12 位数字或字母，保存（写别的字符会被就地拦下并说明规则）。
2. 手机打开 http://<地址>:<端口>/ —— 地址和端口见状态文件里的 手机访问: 那一行。
3. 输一次密码即可进入，之后 30 天免密（cookie）。
4. 密码输错一次，该地址就自动写进「排除的网段」（形如 100.x.y.z/32）、之后一律 403； 解封 = 到「设置 → 远程访问 → 排除的网段」里把那一项删掉。

方式二：用带令牌的网址（不设密码）

打开状态文件里的 远程访问网址: http://…/?token=… 一次，DSH 会把 token 换成自己的签名 cookie（默认 30 天）；之后直接访问 http://<地址>:<端口>/ 即可。没票就是 401。

每次启动 DSH 都会换一张 token（用另一个 Windows 账户跑 DSH，也有它自己的一张），所以旧网址、 别的账户/上一次运行留下的网址里那个 ?token=… 已经作废。拿它访问不会再把 DSH 那句英文甩给你了： 从当前版本起会看到插件自己的中文说明页（讲清「票作废」还是「没带票」，以及去哪儿拿当前那条）。 省事的做法：设了 accessCode 就直接打开裸地址 （http://<地址>:<端口>/）输一次密码；没设就复制状态文件里当前那条带票网址。 旧 cookie 同理不通用（DSH 的 cookie 绑 hostname:port）。

状态文件

<DSH_HOME>\remote-access-url.txt（默认在 %USERPROFILE%\.dsh，权限 0600）里写着：带票网址、 手机访问地址、是否开启了解锁密码、已拉黑的地址、放行密钥、本用户配置路径、 当前生效的配置、上游自检结果。打不开时先看它。

⚠️ 文件里有访问令牌，等于本机操作权限，不要外传（访问密码在里面打码成 ***）。

配置

本用户配置（唯一配置源，1.5.0 起）

配置只存在 <DSH_HOME>\remote-access-config.json（默认 %USERPROFILE%\.dsh，权限 0600）。 插件不读也不写共享 profile 的 cordis.patch.yml，也不注册 DSH 的配置表单 —— 设置页通过本插件自己的 /__remote_access__/config 端点读写这份 JSON。

为什么这么改：把 .dsh\profiles\desktop 做成 junction / 符号链接指到同一个目录，是多个 Windows 用户共用一份 DSH 的常见做法 —— 那样 cordis.patch.yml 里的 port、密码等也是共享的， 两个人同时开 DSH，第二个实例必然 listen EADDRINUSE: address already in use。现在每个用户只认自己的文件。

规则：

1. 首次启动：文件不存在就按代码默认值建一份（允许网段默认 100.64.0.0/10，upstream: auto）；
2. 设置页保存：只写这份 JSON，写盘完成后下一拍重挂监听（先回执，不会掐断这次保存请求）；
3. 端口被占用：自动换一个系统空闲端口继续服务，并把实际端口写回本文件，下次启动直接用它；
4. 删掉这个文件 = 下次启动按默认值重建；
5. 插件不会从 cordis.patch.yml 读任何参数；你在那里写的 config: 会被忽略。

文件是可手改的 JSON：config 就是全部生效值。

{
  "version": 1,
  "note": "本文件是当前 Windows 用户自己的远程访问配置（唯一配置源）……",
  "updatedAt": "2026-10-19T00:00:00.000Z",
  "config": { "port": 54321, "remoteTheme": "dark", "……": "……" }
}

从 1.4.x 升级：1.4.x 的参数在共享 profile 的 cordis.patch.yml 里，这一版不再读取它。 升级后请到「设置 → 远程访问」里把参数重新填一遍（或者直接编辑上面这个 JSON）。 如果你已经在用 1.4.2–1.4.4，本用户 JSON 已经存在，里面就是上次的生效值，通常不用改。

设置页里能改的

「设置 → 远程访问」里是 10 个常用项（启用 / 允许的网段 / 排除的网段 / 端口 / 并发上限 / 日志级别 / 访问密码 / 远程UI布局 / 提问时通知手机 / 仅窗口不可见时通知），外加一层可折叠的下一级菜单 「UI 设置」（5 项界面偏好，见下）。 保存只写本用户 JSON，插件随即重挂监听（端口会变，新网址以状态文件为准）。

访问密码的规则

访问密码只收 4–12 位数字或字母（大小写敏感）。写别的（空格、符号、太短太长）不会生效， 而且一定看得见：设置页点保存时就地拦下并说明规则，直接改 JSON 写进去的非法值会在 状态文件的诊断里留一条 「访问密码」没生效…。这条提示是故意做的 —— 静默失效会让人以为密码设好了， 然后在手机上撞见 DSH 那句英文 401（这曾经是最难查的一种「坏了」）。

改密码不会把已经进来的设备踢下线：放行 cookie 的密钥与 accessCode 无关，单独存在 <DSH_HOME>\remote-access-secret（0600），DSH 重启后也照样有效。想让所有设备重新输一次密码， 删掉那个文件即可。

手机上的同一页也能改

设置页在本机与手机上是同一套：都走本插件自己的 /__remote_access__/config 端点， 只读写宿主那台机器上的本用户 remote-access-config.json（手机请求先过访问门）。 写盘完成后才回执；重挂监听排在回执之后（不会把这次保存的连接掐断）。

「UI 设置」这一组：外观/字号只改手机

设置页里「远程访问」下面有一层可折叠的下一级菜单「UI 设置」，放的是官方「通用设置」里的五项界面偏好 （外观、字号大小、工作步骤展示、显示代码工作视图、性能与用量）。

外观 / 字号：只投影到本页 DOM —— root 的 color-scheme、data-ds-theme-source、body 的 data-ds-dark-theme 与三种字号的 CSS 变量；不调用 theme.setTheme / theme.setFontSize， 宿主的官方设置文档一个字都不写。电脑端改主题时会广播 theme/change，手机页在官方 presenter 之后重新投影自己的外观，所以「电脑切深色、手机仍按自己的设置」。 工作步骤展示 / 显示代码工作视图 / 性能与用量：官方只提供「写宿主」的公开入口， 本插件不写任何别的配置，所以它们跟随电脑设置；设置页状态行会写明。

• 本机（回环）页面一个像素都不动 —— 与 remoteLayout 同一条硬约束；
• default（出厂值）不是「什么都不做」：外观套回 system、字号套回官方当前值；
• 这一组是 Host 配置字段，而配置 schema 在 DSH 启动时读入：第一次升级到这一版需要重启一次 DSH （之后改值、保存都不必重启；浏览器半区刷新页面即可生效）。

其余参数

其余参数直接写在本用户 JSON 的 config 里（也不建议常用）：

手机上的「新建工作区」选目录

DSH 默认用 directory-picker-auto：它判定「回环绑定 + 非 SSH + 有显示会话」时会挑原生后端， 而原生后端是在宿主屏幕上弹系统对话框 —— 手机那边点下去只会一直等（表现就是「打不开文件管理器」）。

本插件的 bundle patch 因此把选目录器固定成应用内浏览：关掉 auto，改挂 dsh-host-directory-picker-browse（列目录 / 建目录的后端）+ dsh-client-ui-directory-picker-browse （「选择工作区目录」对话框）。手机上点新建工作区就会弹出这个应用内对话框，桌面上也一样。

• 桌面端代价：系统原生对话框换成应用内对话框（功能等价）。
• 安全说明：已授权的远程端因此可以列目录、建目录。它本来就能通过 DSH 跑命令，所以这不是新的权限等级； 不想让远程端看到文件系统，就把 cordis.patch.yml 里 disabled 那段和两行 -browse 删掉 （代价：手机端不再有选目录能力）。

为什么只看到「主目录」，怎么去别的盘

对话框的面包屑在主目录以内会折叠：起点显示成「主目录」，C:\、Users 这些上层被有意隐掉， 所以「找不到上一级」是设计而不是坏了。跳出去很容易：

点面包屑右端的铅笔按钮（「编辑路径」），它会变成输入框并预填当前路径，改成你要的路径回车即可：

宿主只接受完全限定路径（Windows 上必须是 C:\… 或完整的 \\server\share…；\foo、相对路径会被拒绝）。 跳到主目录以外之后，面包屑就会显示真实完整路径。目标文件夹不存在时，先用对话框里的「新建文件夹」， 或直接输入一个已存在的目录再点「打开」。

手机布局（远程UI布局）

DSH 的界面是为桌面三栏设计的。在 390px 宽的手机上，它的表现是：

• 侧栏一旦展开就吃掉 280px，正文只剩 110px；
• 设置页的左右两栏里，右侧只剩 101px —— 中文会一个字一行竖排下来；
• 输入区工具条把模型名截成 DeepSeek-V4…。

「远程UI布局」就是针对这些做的，选 手机 或 自动 后，只有远程页面会变成：

点左侧列表里的会话：一步到位

手机上「左侧工作区列表」就是抽屉。点一条会话时，插件会做两件事（只在手机布局下）：

1. 立刻把抽屉收掉 —— 替用户点它自己的「收起侧边栏」，与点遮罩、手势、返回键走同一条路， 于是「选会话」是一步而不是「点会话 + 再点遮罩」两步；
2. 不让光标落进输入框 —— DSH 在会话切换时会把焦点塞进输入框（电脑上这是好意：切完就能直接打字）， 手机上一执行就弹出软键盘、把刚选中的会话盖掉一半。插件不改它那份逻辑，只在这一下之后 400ms 的窗口里让输入框不可聚焦（inert），并兜底把抢到的焦点交回去； 窗口一过立刻恢复，用户自己点输入框照常能打字。

认的是「会话行」本身（DSH 自己写在行上的 data-row-key="session:…"，且必须落在侧栏里）， 所以行内那几个按钮（…菜单 / 置顶 / 归档，DSH 自己就 stopPropagation）与工作区分组行 （workspace:…，点它只是展开收起）都不会被误伤。

三条实现上的约定：

1. 本机不动。判据是 ctx.remote.$host.isLoopback（页面生命周期内固定），不是窗口宽度 —— 本机窗口拖到 390px 也不会变成手机布局。所有样式都挂在 html[data-ra-layout="phone"] 之下， 本机页面拿不到这个属性，也就永远匹配不上任何一条规则。
2. 不改别人的渲染树。只加 data-ra-* 标记和一张 <style>，靠 CSS 覆盖； 唯一挂在框架之外的是抽屉遮罩（<body> 下、有固定 id）。定位用的是 data-slot 这类稳定契约， 再用 [class*="_xxx"] 兜住 DSH 会变的 CSS-module 哈希前缀。
3. 改完立刻生效。这一项走 Remote 通道热更，手机上改完不用刷新（settings/document-updated 会重算）。

已知限制：手机宽度下 DSH 本身不给右侧栏分配轨道（available < 300 时右栏宽度算成 0）， 所以文件/终端那类右侧面板在手机上仍然打不开 —— 这属于 DSH 布局自身的策略， 本插件只改样式、不动别人的布局计算，因此没有去绕它。

手机端回车 = 换行（不发送）

手机上的回车键太小、太容易误触，所以本插件把它改成换行：只有点「发送」按钮才真正发送。

• 生效范围：手机布局 或 触摸（粗指针）设备上的主输入框；两处都算，所以「宽屏平板」与 「手机选了电脑布局」都不会漏。本机（电脑）页面完全不受影响。
• 一律放行、绝不插手的四种情况：Shift/Ctrl/Cmd/Alt + Enter（Shift+Enter 本来就是换行， Ctrl/Cmd+Enter 仍然是发送）、输入法合成中或刚合成完 60ms 内（中文输入法用回车确认候选词， 吃掉它等于打不了字）、不在主输入框里（设置页的输入框、排队消息的行内编辑器都不碰）、 以及 手机端回车=换行 被关掉时。
• 实现方式是在捕获阶段把这一个按键吃掉（官方那条「回车发送」根本收不到），再自己往编辑器里插一个 换行；三条路依次试（合成 beforeinput/insertLineBreak → execCommand('insertLineBreak') → 合成一个 Shift+Enter），三条都不成时也什么都不做，绝不退回「发送」。
• 不想要这个行为：设置 →「远程访问」→ 关掉「手机端回车=换行」即可，回车立刻恢复官方语义。

手机布局 + 安卓外壳：返回键

用配套的安卓 App（android/）时，系统返回键由外壳接管，顺序是 先关网页里的浮层 → 再网页后退 → 最后退到后台（不再退出 App —— 退到后台之后， 模型在电脑上提问时手机才会在状态栏提醒你；真要退出就从最近任务里划掉）。 网页这一半只回答两个问题 （window.__dshRaBack 的 count() / closeTop()），而且只在手机布局下算数： 电脑布局里侧栏就是普通一列，没什么可「关掉」的；本机页面连这个入口都不装。 关的方式仍然是替用户点它自己的入口 —— 官方浮层（设置面板、下拉菜单…）派发一次 Escape， 抽屉点「收起侧边栏」，左上角面板列表里的「插件 / 自动化任务」这类全局面板走官方 layout.selectPanel(null) 回会话；与手势、遮罩、手点图标走的是同一条路，我们不碰任何状态。 细节与取舍见 android/README.md。

手机端缓存（大资源不再每次重传）

手机上每进一次页面都要把十几 MB 重下一遍 —— 这不是 App 的锅（APK 用的是 LOAD_DEFAULT， 没有禁用缓存），而是上游根本没发缓存头：

做法：缓存本体留在手机的 WebView 里（Chromium 自己按 LRU 管容量，我们不去管它会不会满）， 宿主只做两件事，而且正文一个字节都不落宿主盘：

1. 把响应头喂对（通用判据，不认任何插件名、不认路径前缀）：

   这类资源	判据	补什么
   内容寻址	URL 里真有内容哈希（?rev=…、index-5SrrfWpU.js 这种哈希文件名、64 位 hex 的附件 id）	public, max-age=31536000, immutable —— 一年不再问
   上游已有校验器	上游给了 ETag / Last-Modified（壁纸的 scene.pkg 就是）	只补新鲜期（private, max-age=…），校验器原样保留，条件请求仍由上游回答
   上游什么都没给	静态类型白名单 + 200 + 没有 no-store/no-cache/set-cookie	补新鲜期 + 我们自铸的弱校验器（见下）

   no-store / no-cache / private / HTML / JSON 接口 / 带 Range 的请求：一律不碰（不做通用 HTTP 缓存）。

2. 替手机判定条件请求：新鲜期（默认 10 分钟，配 stale-while-revalidate）内手机一次请求都不发； 过期后先出旧图、后台带着我们那个校验器回来问一次 —— 这时宿主只读上游响应头 + 首/尾各 64 KB 就能答：

   • 对得上 → 304（零字节），连上游那份正文都不读完；
   • 对不上（比如换了壁纸）→ 把新的一份发过去，并给一个新的校验器。

   为什么用「长度 + 类型 + 首/尾片段」而不是整份哈希：壁纸那种几十 MB 的文件，整份哈希既费 CPU 又要 么落盘要么把整份读一遍；首尾各 64 KB 已经能挡住「换了图但字节数一模一样」这种最阴的情况 （想关掉它就把 cacheProbe 设 false，退回只按长度+类型核对）。

为什么坚持不落盘、也不读宿主的文件系统：资源可能在任何盘、任何路径上（非默认目录、 多个 Windows 用户各自的空间、用软/硬链接搭出来的共用目录）。判定只看「URL（剔除 token）」与上游给的 响应头，上面这些形态对我们完全透明 —— 也不会出现「A 用户的缓存被 B 用户读到」。手机上的副本被系统 清掉时，代价只是重新下载一次，不会出现「缓存坏了所以打不开」。

流量账（排查「退出重进还是大流量」用）：展开「缓存」那一组，展开后是三块正经的报告 —— 生效策略（内容寻址 / 新鲜期 / 过期核对 / 两个开关的实际状态 / 正文落不落盘）、 本次会话计数（304 / 小资源缓冲 / 片段探针 / 接管次数）、 本轮流量账（按 URL 排字节的表格：送出、次数、URL，每一行还写明为什么没带缓存口径， 如 上游写了 no-store / 带 Range 的分段请求（bytes=0-…） / 类型不在白名单（…））， 下面配「刷新」与「清零本轮统计」两个按钮，以及一行用法说明。

用法：先点「清零本轮统计」→ 完全退出 App（从最近任务划掉）→ 重新打开 → 回来看这三块， 那一轮的钱花在哪儿、为什么省不下来，一目了然。

为什么必须有这本账：组合包（/plugins/??…&rev=…）的 immutable 是 DSH 自己发的，按「尊重上游」 的原则我们一个字都不改 —— 于是「我们加了什么头」的计数看不见它们（十几 MB 的大头恰好在那儿）。 字节账不看我们插没插手，谁在重传就记谁。同一份数据也在状态文件里（流量账 那几行）， 接口是 GET /__remote_access__/cache（?reset=1 清零）。

有两类东西是任何 HTTP 缓存都救不了的，看到大数字别惊讶： · 聊天里的图片/附件走的是 RPC（readAttachment），字节在会话通道里（WS /api/remote.mux）， 客户端只把它缓存在页面内存里，页面一重载就重取 —— 所以「从最近任务划掉 App」＝整页重载＝图片重来； 只是退到后台再回来（不划掉）不会重载，也就不重取； · 实时轮询（动态壁纸的音频频谱那种，实测约 8 次/秒）本身就是「每次都要最新值」，缓存它只会把动画弄坏。 这两类在流量账里分别以 WS <路径> 与 GET …（原因写着白名单之外）出现。

两个「逆着上游意愿」的开关，专门治实测里最大那两笔（默认都关，自己权衡）： · cacheOverrideNoStore：上游给实时抓帧写 no-store，可那一张就是 4 MB、每次进页面都重来； · cacheFullRange：媒体元素取音轨发 Range: bytes=0-，上游回覆盖整份的 206，而浏览器永远不缓存 206， 实测一次进页面要重下 3.8 MB × 2。 两个都只有在「字节确实就是完整一份」时才动手，实时小端点与中间分段一律不碰。

怎么看它到底生效了没有：手机 →「设置 → 远程访问 → 缓存」（默认收起），展开才读一次宿主的 /__remote_access__/cache，那一行会写明实际口径与本次计数，例如 内容寻址 immutable · 无校验器 10 分钟（过期先出旧的、后台只做一次核对）· 指纹探针开 · 本次 304 4 次 / 小资源 2 / 探针 5。 304 那一项就是「省下来的重传次数」。状态文件里也有同样一份口径与计数。

想彻底清掉手机上的副本：用手机浏览器/App 的清缓存功能即可 —— 我们不在手机侧留任何自己的数据库， 也不在宿主侧留正文，所以没有「清了缓存反而对不上」的中间态。

动态壁纸为什么常常是静态的

装了「壁纸引擎」这类插件时，手机端经常只看到一张静态首帧。根因在壁纸插件那边，不在代理：

它把动态载荷（scene.pkg、网页壁纸入口）的地址写死成自己另起的那个媒体服务 http://127.0.0.1:<随机端口>（只绑回环）。手机打开这个绝对地址，访问的是手机自己的 127.0.0.1， 必然连不上 → 渲染页等不到载荷 → 首帧预算（15s 起、封顶 90s）到期 → 判定实时渲染失败， 并把这次失败写进宿主共享的设置文件，于是手机和桌面一起退回静态帧，直到手动重开「场景实时渲染」。 静态预览图走的是相对路径、经代理可达，所以「有图但不动」正是这个组合的表现。

本插件这边确实有一个放大器，已修：默认 timeoutMs=0 时没有显式声明超时， 于是继承了 Node ≥19 默认 agent 的 5 秒空闲超时 —— 上游 5 秒没吐字节就把正在传输的响应掐断， 而且日志里打印的 cfg.timeoutMs 还是 0，看起来像「没设超时却超时了」。现在：总是显式声明超时， 且 timeoutMs 只作用于「等响应头」，头一到就交棒；上游半路断掉时下游会被一起收掉，不会让手机一直挂着。

彻底治好动态壁纸需要壁纸插件改用相对路径（或让它感知反代）。在它能改之前，两个可用做法： 把壁纸插件的「适配」目标设成浏览器（回到相对路径），或者接受手机端只有静态壁纸。

安全边界

• 只监听 allowCidrs 里的本机地址，永远不会绑 0.0.0.0。
• 每个连进来的对端地址也必须在 allowCidrs 内，否则 403；被拉黑（在 denyCidrs 里）的一律 403。
• 没设 accessCode 时：DSH 自身的令牌 / cookie 仍然生效（没票 401），本插件不降低 DSH 的任何鉴权。
• 设了 accessCode 就别再把它当「双因子」：那时「网段 + 数字密码」就是全部凭据 —— 解锁成功后由本插件 在服务端替请求补上 DSH 的令牌（浏览器始终看不到 token），token 在这条路径上不再是第二道门。 想回到「必须带票」的严格模式，把 accessCode 清空即可。
• 一次密码错误立即拉黑该地址（写进本用户配置的「排除的网段」denyCidrs；写盘失败时它仍会被立刻拦住， 并在状态文件里写明），这是故意的：可暴力猜的数字密码需要一道硬刹车。
• 建议再在 Tailscale ACL 里限定设备；tailscale funnel（公网入口）不要开。
• 本插件把来自网段的请求改写 Host/Origin 后转给回环上的 DSH，因此它就是这个边界的守门人： allowCidrs 写宽了，等于把本机命令执行权限放开。

常见问题

显示 dsh web authentication required（DSH 自己那句英文） — 说明这次访问用的是已经作废的票： 每次启动 DSH 都会换一张 token，别的账户/上一次运行留下的那条 ?token=… 网址都不能再用了。 换个做法：设了 accessCode 就直接打开裸地址 http://<地址>:<端口>/ 输一次密码； 没设就复制状态文件里当前那条带票网址。

如果你之前明明能进、现在只看到这句：那是浏览器里那张 DSH cookie 失效了。 从 b0ec52a 起，插件遇到这种 401 会自动带当前票重试一次，DSH 顺手发一张新 cookie，你不用再手动清。

从当前版本起，这句英文不会再出现在「页面导航」上了。 地址栏打不开时看到的是插件自己的中文页， 它按情况说清两种可能：票作废了（每次启动 DSH 都会换一张）还是根本没带票/没带密码， 并告诉你下一步去哪儿拿当前那条网址（本机「设置 → 远程访问」或状态文件）。 两个刻意的设计：页面绝不回显当前 token（它发给的正是尚未通过校验的对端）， 而且只接管导航请求 —— RPC/子资源的 401 仍原样透传，机器可读的错误语义不变。 设了 accessCode 但凭据过期时，回的是解锁页（重新输一次密码即可），也不是那句英文。

输错密码被挡在外面 — 该 IP 已被拉黑。到「设置 → 远程访问 → 排除的网段」里删掉对应那一项 （形如 100.x.y.z/32）即可；也可以直接编辑本用户 JSON 的 denyCidrs。

插件显示已启用，手机却连不上 / 状态文件里是 listen EADDRINUSE（1.5.0 起每个用户只认自己的配置）— 这个端口被另一个 DSH 实例占着了。1.4.x 时多个 Windows 用户共用 profile 会共享 cordis.patch.yml 里的 port；1.5.0 起配置只在本用户 JSON 里，端口被占用时插件会自己换一个空闲端口、 写回本文件，并把实际网址写进状态文件 —— 手机照状态文件里那条打开即可。 想让某个用户固定用某个端口：在「设置 → 远程访问 → 端口」里填（只影响本用户）， 或者直接改本用户配置里的 config.port。

前几天还好，现在又要重新验证 — 换过端口或重启过 DSH。DSH 的 cookie 绑定 hostname:port，所以旧的不通用； 按「使用」里的步骤重来一次。

设置页点了保存没反应 / 报失败