deepseek-harness-auth：为 DeepSeek Harness 提供认证代理与安全登录的 DSH plugin

它是做什么的？

deepseek-harness-auth 是 DeepSeek Harness（DSH）的认证插件，为 Web profile 提供树外认证 Bundle，在不修改 Harness 主仓库的前提下，将 WebServer 固定到 127.0.0.1 随机端口，并通过同一进程中的公共认证代理保护 HTTP、SPA 静态文件、RPC、SSE 与 WebSocket 升级。它解决了远程访问 Harness 时缺乏认证、暴露敏感 RPC 的安全问题，核心能力包括账号密码认证、IP/CIDR 白名单、验证码、会话管理与安全主题复用。

核心功能

• 认证代理：所有请求（HTTP、SPA、RPC、SSE、WebSocket）必须通过认证后才转发到 Harness，未初始化账号时保持 fail-closed。
• 密码安全：使用 Node.js scrypt 保存密码，状态目录权限 0700、状态文件 0600，支持连续失败锁定（默认 6 次锁 30 秒）。
• 白名单管理：默认白名单为空，本机与远程均需登录；可通过 CLI 添加 IP 或 CIDR（如 localhost 规范化为 127.0.0.0/8）。
• 验证码策略：可关闭、始终验证或失败后验证，验证码短期有效且一次性使用。
• 会话与退出：浏览器持有 HttpOnly、SameSite=Strict 的随机会话 token，账号/密码/白名单修改即撤销旧会话；Web 客户端提供退出登录与“账号与安全”页面。
• 安全主题快照：登录页复用同一浏览器最近一次认证页面的 --dsw-* 配色与背景，新浏览器使用随系统明暗变化的默认主题。

怎么使用这个插件？

在 DSH 的 web profile 中启用插件后，先执行初始化命令（交互式设置账号、密码与确认密码，密码不进入命令行参数），再启动 dsh web，浏览器访问终端输出的认证代理地址（默认端口 3080）。日常管理通过 CLI 子命令完成，例如查看状态、初始化、白名单增删查清、撤销会话；也可在 Web 侧边栏底部退出登录，或在设置中管理白名单与验证码策略。修改密码前必须验证当前密码。