hchao3335-maker/dsh-lan-gate

README 摘要

DSH 内网访问网关（dsh-lan-gate） 让同一局域网内的手机、平板、其他电脑通过网页访问本机 DeepSeek Harness（DSH），并且 首次访问需要本机批准 。 一个自包含的单文件插件（ lan-gate.mjs ），进程内反向代理 + 首页注入，无外部依赖、无子进程。 功能特性 - 内网访问 ：插件在本机启动反向代理 0.0.0.0:3088 → 127.0.0.1:3080 ，局域网内设备打开 http:// :3088 即可使用 DSH 网页 - 首次访问批准 ：新设备第一次访问会看到「等待本机批准」页面，本机在 DSH 的 设置 → 内网访问 面板中允许后，该设备自动进入 DSH；拒绝则看到拒绝页 - 每台设备指定访问方式 ： - 自动 —— 按屏幕宽度适配 - 手机 —— 强制紧凑手机排版（更小字号、更紧间距、全宽消息区、防 iOS 聚焦放大） - 电脑 —— 即使窗口很窄也保持桌面排版 - 手机端完整适配 ：等待/拒绝门禁页移动端设计、设置面板全屏化、模型选择与上下文弹层防遮挡、 crypto.randomUUID polyfill（内网 HTTP 非安全上下文兼容） - 本机管理面板 ：注入到 DSH 设置界面（设置 → 内网访问），支持状态查看、启停、批准/拒绝、切换访问方式、撤销、复制访问地址 - 状态持久化 ：批准记录保存在 $DSH HOME/lan-gate-state.json ，重启 DSH 后依然有效 - 安全边界 ：管理接口（ /lan-gate/status 、 /lan-gate/action ）仅放行本机请求（校验 x-forwarded-for ）；代理转发时重写 Host 为回环地址并通过 DSH 的信任栅栏；撤销设备后其已建立的连接会在数秒内被强制断开 - 设备令牌 + Cookie 绑定 ：每次批准会生成随机令牌（32 位十六进制），设备通过一次性认领链接换取 lg token Cookie（HttpOnly + SameSite），后续请求必须携带匹配的 Cookie 才能转发；令牌只发放给第一个认领的浏览器，其他浏览器（或 Cookie 被清掉的同设备）会看到「已绑定到其他浏览器」页，需撤销后重新批准 - 请求限流 ：每个来源 IP 每分钟最多 120 个请求（滑动窗口），超限返回 429 （含 Retry-After ），防止内网扫描与暴力尝试 - 监听地址可配 ：默认 0.0.0.0 （全局域网可达）；放在前置反向代理/隧道后面时可收紧为 127.0.0.1 ，只让本机代理接入 架构 插件同时通过 webServer.tapIndex 向首页注入： crypto.randomUUID polyfill、设备排版 CSS、以及设置界面内的管理面板（原生 JS 实现，仅本机可见）。 安装（跟…

分类