dsh web authentication required：URL 里的 token 怎么复制与重开

这句话不是让你输账号密码，而是让你用启动时打印的那条 URL。 令牌在链接里，直接打开根地址会被拒绝。

报错原文与含义

先把提示拆开看。

令牌不是账号密码。 它是启动时生成的访问凭据，放在 URL 参数里；没有它，服务拒绝连接（来源）。

「重新打开」不是「刷新」。 刷新旧标签页可能仍用旧令牌；要从终端重新复制，再开新标签。

这句话通常出现在三种场景： 直接访问根地址、服务重启后令牌变化、链接被截断或转义。

为什么必须用打印出来的 URL

URL 里的令牌是访问凭据，不是装饰。

1. 服务启动时生成令牌，并把它拼进访问地址。
2. 客户端请求必须携带这个令牌，服务才放行。
3. 根地址不带令牌，会被判定为未认证。
4. 令牌可能随重启变化，旧链接随之失效。
5. 因此「重新打开打印的 URL」是最直接的办法。

令牌是临时钥匙。 它证明请求来自被授权的客户端；没有它，服务无法区分合法访问与扫描。

打印出来的 URL 是唯一可靠来源。 手写、拼接或从别处复制的地址，可能缺参数或编码错误。

复制 URL 的三种方式

按环境选一种，避免截断。

1. 终端直接点开： 支持超链接的终端可以直接点击；注意不要点到换行截断的部分。
2. 完整复制： 从 http 开始到参数结束，整段复制；不要只复制域名。
3. 用命令打开： 在支持的环境里用系统打开命令传入完整 URL。

复制后先粘贴到文本里看一眼。 确认没有换行、空格或省略号；再粘贴到浏览器。

不要手动补参数。 令牌很长，少一个字符就会失败；从输出里整段复制最稳。

令牌失效的四种情况

四种情况最常见。

1. 服务重启： 令牌重新生成，旧链接失效。
2. 超时过期： 部分实现有有效期，过期后需重新获取。
3. 链接被截断： 复制时漏掉尾部参数。
4. 编码变化： 聊天软件或编辑器对特殊字符二次编码。

重启最常见。 每次启动都从终端重新复制，不要依赖旧书签。

编码问题最隐蔽。 链接在聊天软件里被转义后，令牌值会变；用纯文本方式传递。

重新获取与验证

四步恢复访问。

1. 回到启动服务的终端，找到最新打印的 URL。
2. 整段复制，粘贴到新标签页打开。
3. 确认页面能进入，不再出现认证提示。
4. 需要长期使用时，把它加入书签，并记住失效后重新获取。
5. 如果仍失败，换浏览器或无痕窗口对照。

新标签页很重要。 旧标签可能缓存了失败状态；新标签从干净状态发起请求。

无痕窗口能排除缓存与扩展干扰。 仍然失败，再查服务端与网络。

安全边界

带令牌的 URL 等于临时钥匙，处理要谨慎。

1. 不公开发布： 不要贴到群聊、issue 或公开文档。
2. 不外传截图： 截图可能包含完整 URL。
3. 按人分配： 多人访问时用认证层，不要共用令牌。
4. 定期更换： 泄露或人员变动后重新生成。
5. 公网加认证： 对外提供服务时，在反代层加登录与来源限制。

令牌泄露等于访问权泄露。 它不需要账号密码，拿到链接就能进；传播范围越小越好。

不要把令牌写进代码或配置仓库。 用环境变量或密钥管理，避免随代码扩散。

失败排查

四类失败覆盖大多数认证问题。

1. 一直提示认证： 打开的是根地址或旧链接；重新复制完整 URL。
2. 复制后仍失败： 令牌被截断或转义；用纯文本对照。
3. 换设备打不开： 服务只监听本机或局域网限制；先解决网络可达。
4. 多人访问冲突： 共用令牌或缺少认证层；加代理认证。

四类的排查入口是「链接 → 网络 → 认证层」。 先确认链接完整，再看网络，最后看是否有代理。

日志能确认请求是否到达。 没到达是网络问题，到达被拒是令牌问题；两者不要混。

下一步

先复制完整 URL，再排查网络与认证层。 想看通用认证排查，看《web authentication required 修复》；想看端口与认证，看《dsh web 认证与端口》；想看远程访问，看《DeepSeek Harness 远程访问怎么配》。

来源：dsh CLI README、DeepSeek Harness 官方文档、deepseek-harness 仓库