AnkoCD/dsh-server-deployment

README 摘要

DeepSeek Harness 服务器部署（dsh-server-deployment） 为 DeepSeek Harness（DSH）Web 端增加 多用户门户 的零依赖 Node 网关：登录认证、每用户独立 DSH 实例与 OS 级数据隔离、每用户独立 API Key，以及内置的 交付文件抽屉 （下载 / 上传 / 当前工作区自动定位）。 部署定位（重要） ：本项目是 服务器端部署 方案——网关、每用户 DSH 实例与文件助手全部运行在 远程服务器 上，多个用户通过浏览器（公网域名 + HTTPS）访问各自的会话与交付文件；它 不是本机 / 桌面工具 ， 无需在用户电脑上安装任何软件 。文档中的示例路径（如 /opt/deepseek-harness 、 /etc/systemd/system ）均为服务器端路径。 特性 - 登录门户 ：自研暗色登录页（漆面 + 金箔风格），scrypt 口令（兼容旧版 APR1）、HMAC 签名会话 Cookie（HttpOnly / Secure / SameSite=Lax）、登录限流（IP + 账号两级）、CSRF 双提交校验。 - 用户隔离 ：每个用户一个独立 DSH 实例（独立端口），以独立系统账号 dsh- 运行， DSH HOME 指向其 0700 私有目录； userctl.js 一条命令完成建号 / 改密 / 删号 / 预置 Key。 - 每用户独立 API Key ：登录后无 Key 自动引导 /setup 填写，经回环 RPC 写入该用户私有的 .credentials.yaml （0600，属主仅本人）。 - 回环特权接口修复 ：网关向后端呈现 Host: 127.0.0.1: 并剥离浏览器信任标记，DSH 钉在回环的 settings / credentials / agentPreset 等特权接口在公网访问下同样可用。 - 交付文件抽屉 ：主界面右下角两颗可拖动胶囊「交付文件」「上传文件」，白色抽屉内嵌文件浏览器——目录浏览、下载（attachment + 中文文件名）、多文件上传（100MB 上限）；自动定位到当前对话所在工作目录（嗅探会话 RPC 追踪 cwd，持久化恢复）。 - 安全边界 ：所有用户文件访问经 sudoers 固定路径的 root 助手脚本（双重 realpath 边界校验）；网关进程对用户目录零权限；隐藏文件（含 .credentials.yaml ）不可下载；SPA 注入尊重 prefers-reduced-motion 、无玻璃拟态/渐变装饰。 架构 目录结构 快速部署（概览） 1. 安装 DSH（npm 包）并准备 Node 运行时；按 units/ 配置网关 systemd 服务（ User= ，仅监听 127.0.0.1）。 2. 用 sudo bin/…

分类