dsh-plugin-tool-management

配置与安全

插件 loader 行支持以下可选字段（dsh plugin add 会自动插入，一般无需手写）：

字段	说明
token	可选访问令牌。设置后**所有写操作与「显示密钥」**都要求 x-dsh-token 请求头。客户端从 localStorage 读取（键 dsh-plugin-tool-management-token，DevTools Console 设置后刷新即可），也可用环境变量 DSH_PLUGIN_TOOL_MANAGEMENT_TOKEN。
maxBodyBytes	请求体上限，默认 88 MiB（技能 ZIP 上传需要）。

关于为什么需要 token：插件的跨站防护（POST-only + 自定义头 + 同源校验）默认「DSH 只监听本机」。如果你把端口转发到局域网/公网，token 就是防止陌生人注入 MCP 命令（等同远程执行）与窃取明文密钥的最后防线——本地单机使用可不配置。