dsh-passwords

给 DeepSeek Harness（dsh）的网页界面加一道密码门。

dsh 自带的网页界面没有任何登录功能——只要别人知道你的服务器地址，打开就能用，还能烧你的 API key。这个项目在 dsh 前面挡一层登录页：没登录的人一律先看到登录页，输对账号密码才放进去。

🏅 已收录于 Awesome DeepSeek Harness 生态索引（Infrastructure & Development）与 Awesome DSH Plugin 插件精选列表（Development & Runtime）。

名字的由来：这个项目最早叫 dsh-mcp-platform（当时带 MCP 功能），后来 MCP 删了，只剩一个登录网关，就改名 dsh-passwords——好记：dsh 的密码门。

它做了什么

登录页（浅色 · 跟随系统）	登录页（深色 · 跟随 dsh 主题）

首次配置页（首次访问）	dsh 主界面（登录后）

安全测试实测输出	核心源码（auth.ts）

需要 Node.js 22.5 以上（node -v 看一眼）。

改哪里	改成什么
`SETUP_KEY=...`	必须改，`openssl rand -hex 24` 生成
`MCP_GATEWAY_PORT=8080`	想对公网开放的端口，比如 `80`
`MCP_DB_ENC_KEY=`	填上 `openssl rand -hex 32` 生成的值（数据加密密钥，设了就不能改）

变量	默认值	干什么的
`SETUP_KEY`	必填	首次配置的安装密钥（在 `.env` 里）
`MCP_DB_PATH`	`./data/platform.db`	数据库文件放哪（自动建库，不需要装 MySQL）
`MCP_DB_ENC_KEY`	空	数据加密密钥。`openssl rand -hex 32` 生成。设了就不能换，换钥匙旧数据全废
`MCP_GATEWAY_HOST`	`0.0.0.0`	网关监听地址
`MCP_GATEWAY_PORT`	`8080`	网关端口
`MCP_GATEWAY_UPSTREAM`	`http://127.0.0.1:3080`	dsh 网页的地址（保持默认）
`MCP_GATEWAY_TLS_CERT` / `MCP_GATEWAY_TLS_KEY`	空	两个都填就开 HTTPS
`MCP_GATEWAY_REDIRECT_PORT`	空	填 `80` 后 80 端口只做跳转
`MCP_GATEWAY_PUBLIC_HOST`	空	跳转固定用的公网 IP/域名（防 Host 伪造反射）
`MCP_DSH_SETTINGS_FILE`	自动找 `~/.dsh/settings.yaml`	网关和 dsh 不在同一台机器时才要填