@dsh-external/dsh-auth-tailscale

配置

bundle patch 从环境变量读取策略：

变量	是否必需	含义
DSH_TAILSCALE_ALLOWED_LOGINS	是	逗号分隔、大小写敏感的 Tailscale login allowlist
DSH_TAILSCALE_USE_CAPABILITY	否	普通远程 API/WS 必须具备的 App Capability
DSH_TAILSCALE_ADMIN_CAPABILITY	否	远程访问 loopback 特权接口必须具备；不配置时远程特权调用恒为 403

推荐同时使用 allowlist 和 capabilities：前者限制具体身份，后者把普通使用与管理权限 放进 tailnet policy。

export DSH_TAILSCALE_ALLOWED_LOGINS='alice@example.com,bob@example.com'
export DSH_TAILSCALE_USE_CAPABILITY='example.com/cap/dsh'
export DSH_TAILSCALE_ADMIN_CAPABILITY='example.com/cap/dsh-admin'

未设置或解析为空的 allowlist 会让整个 dsh plugin tree 启动失败，不会退回匿名访问。