dsh-web-pass

配置

所有选项都有内置默认值——完全不写任何配置也能正常工作（日志轮转默认即 1MB × 7 份）。即使 cordis.patch.yml 在安装其他插件时被覆盖、丢失自定义配置，功能也不受影响：日志轮转回落到内置默认，访问密码的环境变量名回落到内置的 DSH_WEB_PASS_PASSWORD。

来自插件配置（cordis.patch.yml 的 config 段，可选）：

选项	默认值	说明
port	3081	反向代理监听端口
logViewerPort	3082	内嵌日志查看器端口
maxLoginAttempts	3	锁定前允许的密码错误次数
loginLockMs	60000	超次后的锁定时长（毫秒）
passwordEnv	DSH_WEB_PASS_PASSWORD	提供密码的环境变量名
trustProxy	false	是否信任 X-Forwarded-For / CF-Connecting-IP 头（用于访客 IP 识别与登录限速）
logMaxBytes	1048576	访问日志单文件大小上限（字节），达到即轮转，下限 64KB
logMaxFiles	7	轮转后保留的历史文件份数（access.log.1 … access.log.N），超出自动删除

关于 trustProxy：默认关闭时，访客 IP 与登录限速只依据 socket 直连地址，防止伪造 XFF 头污染日志或绕过限速。仅当你在网关前面部署了可信的反向代理（nginx、Cloudflare 隧道等）时才开启。