dsh-lan-gate

English | 中文

给 DeepSeek Harness Web 加密码门禁、入站 CIDR 白名单，以及 proxy header 拒绝。

CLI 会拒绝 dsh web --host 0.0.0.0。本插件通过官方 composition 层把 webserver.host 设成 0.0.0.0，然后要求局域网客户端先登录，才能打开 UI 或 /api。

安装

dsh plugin --profile web add dsh-lan-gate

或从 GitHub：

dsh plugin --profile web add github:maxesisnclaw/dsh-lan-gate

然后打开 http://127.0.0.1:3080/dsh-lan-full/login 设置密码（仅本机回环）。之后局域网客户端会看到登录页。

设置 → LAN 访问 可改 CIDR、proxy header 策略和密码。设置页和登录页走 dsh 官方的 zh/en 语言。

做什么

控制	默认
监听所有网卡	是（bundle patch）
密码	未设置，需从回环设置
入站 IPv4 CIDR	10.0.0.0/8、172.16.0.0/12、192.168.0.0/16
拒绝 X-Forwarded-* / Forwarded / Via	是
本机回环免密	是（抢救用）

策略文件：$DSH_HOME/lan-gate.json（权限 0600）。密码存 scrypt 校验值，从不存明文。Session token 是 32 字节随机值，磁盘上只留 SHA-256。

剩余风险

这不是 TLS 终结器。明文 HTTP 上，局域网旁观者仍能嗅探密码和 cookie。不要放到公网。不要放在会加 forwarding header 的反代后面——这类请求会被故意拒绝。

见 SECURITY.md。

License

MIT