dsh-remote-access
DSH Web 插件，为本地 DSH 提供局域网访问、Tailscale Serve 和 Funnel 入口。
设计
局域网客户端 ── HTTPS:3081 ──► Caddy ──┬─ /api/* ─► API Gateway:3083 ─► DSH:3080
└─ 其他请求 ───────────────► DSH:3080
Tailscale ── Serve/Funnel ──► Caddy:3082 ──┬─ /api/* ─► API Gateway:3083
└─ 其他请求 ─► DSH:3080DSH 原始服务只监听 127.0.0.1:3080。Caddy 负责 HTTPS、入口识别和 Basic Auth；API Gateway 根据访问来源限制浏览器调用的 DSH API。配置、证书和运行状态保存在 DSH 数据目录。
访问模式
| 模式 | 入口 | 认证 | API 策略 |
|---|---|---|---|
| 本机 | 127.0.0.1:3080 | DSH 自身 | 完整权限 |
| LAN | https://<LAN_IP>:3081 | 可选 Basic Auth | lan |
| Tailscale Serve | Tailscale 域名 | 可选 Basic Auth | serve |
| Tailscale Funnel | 公网 Tailscale 域名 | 强制 Basic Auth | funnel，仅基础 API |
LAN、Serve、Funnel 各自使用 API 白名单，默认只开放会话、消息、模型列表、技能列表等基础功能。设置、凭据、主机文件和模型探测等接口默认关闭。
设置页可以按访问模式勾选 API、配置 Basic Auth，并为 LAN / Serve 开启“允许全部 API”或“可信远程设置”。两项高权限能力不适用于 Funnel；插件自身的服务控制接口只接受本机页面请求。
安装
dsh plugin --profile web add @greenonion/dsh-remote-access手动安装：
git clone <repo-url> dsh-remote-access
cd dsh-remote-access
node install.js安装后重启 DSH，在“设置 → 远程访问”中操作 Caddy、Tailscale 和 API 策略。 启动反代时会在运行时目录自动生成本地 CA 和服务端证书。
运行环境
- Node.js
>=20 - Caddy
2.8+ - OpenSSL（生成本地 CA 和服务端证书）
- Tailscale（使用 Serve / Funnel 时需要）
核心功能支持 Linux、macOS 和 Windows；证书安装提示使用 mDNS 检测，在 Linux 和 macOS 上启用。默认端口为 LAN 3081、Tailscale 3082、API Gateway 3083，可在 cordis.patch.yml 中调整。
运行时目录默认为 ~/.dsh/dsh-remote-access/，可用 DSH_HOME 更改，主要包含动态生成的 Caddyfile、证书、认证信息和运行日志。
安全边界
- 远程请求先经过 Caddy 和 API Gateway，未知 API 默认拒绝；本机 loopback 保留 DSH 完整权限。
- LAN / Serve 不强制 Basic Auth；Funnel 始终要求 Basic Auth，并保持基础 API 策略。
- Caddy 使用插件独立的配置和 PID；关闭时只停止插件创建或确认属于插件的 Caddy/Tailscale 资源。
- Basic Auth 只保存 bcrypt hash；
/ca.crt用于设备安装本地 CA，保持免认证访问。
License
MIT