dsh-proxy-whitelist

配置文件（等价写法）

不想用卡片就改 profile 的 cordis.patch.yml：

- id: proxy-whitelist
  name: dsh-proxy-whitelist
  config:
    enabled: true
    proxy: http://127.0.0.1:7890
    include:
      - .d1api.xin              # 该域名及其所有子域
      - api.commandcode.ai      # 精确匹配这一个主机
      - "*.sta1n.cn"            # 只匹配子域，不含 apex
      - 10.0.0.0/8              # IPv4 网段
    exclude:
      - internal.example.com    # 即使命中 include 也强制直连

规则语法

写法	含义
api.example.com	只匹配这个主机
.example.com	apex + 任意层级子域
*.example.com	只匹配子域，不含 apex
10.0.0.0/8、10.1.2.3	IPv4 网段 / 单个地址
api.example.com:8443	限定端口

匹配不区分大小写，忽略末尾的点；loopback 永远直连（localhost、127.0.0.0/8、::1、0.0.0.0、169.254.0.0/16），因为 DSH 自己就靠这些地址跟 Web UI 和本地 MCP 服务器通话。写错的规则会在加载时按原文报出来，而不是被悄悄忽略。

安全行为

• 默认不代理：include 为空时一条也不代理，可以先装再配。
• 代理没启动就直连：地址在使用前探测一次，之后每 30 秒复查；代理客户端关掉时整体降级为直连，而不是让每个模型调用都失败。
• 不写 process.env：环境变量对子进程和所有读它的库都生效，写进去就收不回来了。本插件只替换 undici 的全局 dispatcher，卸载时还原。
• SOCKS 会被拒绝并说明原因：undici 只接受 http:// 与 https:// 代理，写 socks5:// 会被告知并保持直连。