2. 三步完成首次配置

用平时的方式启动 dsh（dsh 的模型密钥已配好即可，直接运行 dsh web；密码门本身无需任何额外配置）——密码门会被自动拉起，不需要任何额外启动命令
浏览器直接打开 https://.sslip.io——第一次访问会自动进入「首次配置」页，输入 SETUP_KEY，创建主用户（不用手动输入 /gateway/setup）
之后所有人访问 https://.sslip.io 都会先过登录页

别忘了在防火墙和云服务商安全组里放行 80 和 443 端口（开不了 80 的机器见下面的「部署场景矩阵」）。

自动 HTTPS（不用买证书、不用配置）

默认自动探测服务器公网 IP，用 .sslip.io 域名向 Let's Encrypt 签发 90 天证书；到期前 30 天自动续期（新证书热加载，无需重启），全程零操作
有自己域名：.env 加一行 MCP_GATEWAY_DOMAIN=你的域名，域名 A 记录指向服务器即可，证书自动改签域名版
签发失败会拒绝启动（带错误码），绝不会悄悄降级成明文 HTTP；续期失败但旧证书还在有效期内时，继续用旧证书并在后台自动重试

错误码	含义	怎么办
30	证书签发失败	检查 80/443 是否放行（防火墙 + 云安全组都要开）、80 是否被占用、能否连通 Let's Encrypt
31	拿不到公网 IP/域名	服务器没有公网 IP，或探测失败。有域名就设 `MCP_GATEWAY_DOMAIN`；纯内网用走 HTTP 模式
32	端口被占用	换端口（`.env` 的 `MCP_GATEWAY_PORT`）或释放被占端口

为什么地址里有个 .sslip.io？浏览器要求证书上的名字和网址一致，而 Let's Encrypt 不给纯 IP 签发证书，.sslip.io 是免费借名服务。直接输裸 IP 的 https:// 仍会提示主机名不匹配，属正常现象——从 80 端口入口进会自动跳到正确地址。

配置（.env 速查表）

变量	默认	说明
`SETUP_KEY`	安装脚本自动生成	首次配置密钥；JWT 会话密钥也从它派生，安装后别删
`MCP_JWT_SECRET`	空（从 SETUP_KEY 派生）	会话签名密钥。生产环境建议独立设置（`openssl rand -hex 32`），SETUP_KEY 泄露时不连带会话伪造
`MCP_DB_PATH`	`./data/platform.db`	数据库文件（SQLite 自动建库，不需要 MySQL）
`MCP_DB_ENC_KEY`	空	数据加密密钥。`openssl rand -hex 32` 生成。设了就不能换，换钥匙旧数据全废
`MCP_GATEWAY_HOST`	`0.0.0.0`	网关监听地址
`MCP_GATEWAY_PORT`	`443`	网关端口
`MCP_GATEWAY_UPSTREAM`	`http://127.0.0.1:3080`	dsh 网页地址（插件自动指向 dsh 实际端口，一般不用改）
`MCP_GATEWAY_REDIRECT_PORT`	`80`	80 端口：ACME 证书验证 + 301 跳转 443
`MCP_GATEWAY_DOMAIN`	空	自己的域名；留空自动用 `.sslip.io`
`MCP_GATEWAY_AUTO_TLS`	开	留空=自动；`0` 关闭（明文 HTTP，危险）
`MCP_GATEWAY_ACME_EMAIL`	空	证书到期提醒邮箱（可选）
`MCP_GATEWAY_ACME_STAGING`	关	`1`=用 LE 测试环境签发（调试用，浏览器不信任）
`MCP_GATEWAY_TLS_CERT` / `MCP_GATEWAY_TLS_KEY`	空	两个都填 = 用你自己的证书（优先于自动 HTTPS）
`MCP_GATEWAY_PUBLIC_HOST`	空	跳转固定用的公网 IP/域名（防 Host 伪造反射）
`MCP_DSH_ROOT`	自动探测	dsh 安装目录（`@deepseek-ai/dsh` 所在处），探测不到时手动指定
`MCP_DSH_RESTART_SERVICE`	`dsh-web`	重载补丁后自动重启的 dsh systemd 服务名；显式留空不自动重启
`DSH_PASSWORDS_ENV_FILE`	空	手动指定 `.env` 路径（插件自动传，一般不用填）

dsh-passwords

AI 分析

インストール

ドキュメント

2. 三步完成首次配置

自动 HTTPS（不用买证书、不用配置）

配置（.env 速查表）