dsh-ops-console

1. 安装并启动 DeepSeek Harness：npx @deepseek-ai/dsh web
2. 在终端执行上面的安装命令（CLI 会解析插件并核验来源）
3. 用 dsh plugins list 确认已安装，必要时重启 Harness 生效

插件以当前 dsh 进程的权限运行，安装时可能执行代码。请先通读仓库源码与许可证，确认无破坏性命令与越权访问；本站只做索引，不对第三方插件安全性作担保。

事实信息来自公开插件目录快照（2026-10-01），介绍文案由本站再加工。

以下为插件仓库 README 全文（原始内容，由公开目录抓取整理）。

# dsh-ops-console

> Mac 留在桌边，换到手机上继续用 Harness。

dsh-ops-console 是 DeepSeek Harness 的可选 Web 插件，入口在“设置 → 远程访问”。它把 Tailscale 入口设置、连接状态和访问二维码放在一起，让你不用手动拼命令、填写域名，就能准备好远程访问。

它不会把 Harness 默认公开到互联网。正常使用方式是：Mac 和手机都连接到获准访问的 Tailscale 网络，再通过二维码或地址打开 Harness。

[在 npm 查看 dsh-ops-console](https://www.npmjs.com/package/dsh-ops-console)

## 它解决什么问题

远程打开 Harness，真正麻烦的往往不是得到一个网址，而是回答下面几件事：Tailscale 到底有没有连上？Harness 是否已经准备好？关掉入口会不会误伤其他服务？

dsh-ops 主要做四件事：

- **准备入口**：为 Harness 创建 Tailscale Serve 入口，并自动配置当前 Tailscale 地址；遇到冲突会停止，不直接覆盖其他服务。
- **扫码打开**：显示就绪状态、本地生成的二维码和可复制地址。开启与关闭入口只能在 Mac 本机操作。
- **失败后能继续**：如果入口已创建，但 Harness 设置没有保存成功，点“继续完成设置”即可重试，不必先关掉重来。
- **发现公网配置时提醒**：检测到直接指向 Harness 的 Funnel 配置时显示警告，暂停展示常规扫码入口，不自动修改其他服务。

dsh-ops 有意不做引擎管理：它不会安装、更新、重启或恢复 Harness，也不读取余额、日志、API Key、提示词或会话正文。这些本机能力由 [dsh-desktop](https://github.com/wendyltan/dsh-desktop) 负责。

## 开始使用

开始前，请确认这台 Mac 已经有可正常使用的 dsh Web profile、Node.js 18 或更高版本，并已安装和登录 Tailscale。

### 1. 安装插件

推荐从 npm 安装：

```bash
dsh plugin --profile web add dsh-ops-console
```

也可以安装 GitHub 版本：

```bash
dsh plugin --profile web add github:wendyltan/dsh-ops-console
```

本地开发时，也可以直接安装源码目录：

```bash
dsh plugin --profile web add /path/to/dsh-ops-console
```

安装后重新启动 dsh Web 服务，进入“设置 → 远程访问”。如果使用 dsh-desktop，请通过客户端的服务管理操作重启；只刷新网页不会加载新插件。

### 2. 在 Mac 上准备远程入口

点击“设置远程访问”。dsh-ops 会为 Harness 创建 Tailscale Serve 入口，并自动完成当前 Tailscale 地址所需的 Harness 设置；用户不需要填写自定义域名。

如果 HTTPS 根地址已经被其他服务使用，操作会停止并说明冲突，不会直接覆盖。页面提示“Harness 等待重启”时，重新启动 Harness 服务即可；下次加载后，dsh-ops 会再次确认设置是否已经生效。

如果提示“入口已创建，Harness 设置尚未完成”，按页面说明检查配置目录权限，然后点击“继续完成设置”。插件只补齐缺失设置，不重新创建已有入口。提示需要重新启动时，必须重新启动 Harness 服务；仅刷新网页不生效。

### 3. 扫码打开

入口就绪后，页面会直接显示二维码和 HTTPS 地址。在已经登录获准 Tailscale 账号的手机或电脑上扫码，或者复制地址打开即可。

正常使用 Serve 时，实际哪些用户和设备可以访问，由 Tailscale 的访问规则（ACL）决定；dsh-ops 不会绕过或替代这层权限。二维码只包含远程 HTTPS 地址，在 Mac 本地生成，不会把地址发送给第三方二维码服务。

**扫码不是授权，也不是必经步骤。** 已获准访问的设备直接输入同一个地址，也可以打开 Harness。

## 谁能做什么

| 能力 | Mac 本机 | Tailscale 远程设备 |
| --- | --- | --- |
| 查看入口状态和复制地址 | 可以 | 可以 |
| 开启或关闭远程入口 | 可以 | 不可以 |
| 更新、重启、恢复引擎 | 不属于 dsh-ops | 不属于 dsh-ops |

关闭远程访问时，dsh-ops 只移除 Harness 自己的 Serve 入口，不执行全局 `tailscale serve reset`，因此不会删除其他 Tailscale Serve 配置。

如果设备丢失，应在 Tailscale 中撤销该设备或调整 ACL。若要关闭 Harness 的远程入口，可以在 Mac 本机展开“更多访问设置”操作；它不会修改 Tailscale ACL，也不会影响其他应用的 Serve 入口。

## 页面上的状态是什么意思

| 页面状态 | 发生了什么 | 你可以怎么做 |
| --- | --- | --- |
| Tailscale 未连接 | 应用未运行、未登录或当前离线 | 在 Mac 上打开并登录 Tailscale |
| 入口未创建 | 还没有为 Harness 配置 Serve | 在 Mac 本机点击“设置远程访问” |
| Harness 设置未完成 | 入口已创建，自动保存配置尚未成功 | 检查目录权限后点击“继续完成设置” |
| Harness 等待重启 | 远程设置已保存，Harness 尚未载入 | 重新启动 Harness 服务，不能只刷新网页 |
| 远程入口已开启 | Mac 端的三项配置已经就绪 | 扫码或复制地址，在另一台设备打开 |
| 请检查公网访问配置 | 检测到直接指向 Harness 的 Funnel 配置 | 在 Mac 上核查并关闭对应入口的 Funnel |
| 无法确认 Funnel 配置 | 状态读取失败或配置无法识别 | 检查本机 Tailscale；不要把“未知”当成“安全” |

“检测连接”会从 Mac 本机访问远程 HTTPS 地址。它可以证明本机端配置完成，但不能代替你在手机或另一台电脑上的真实打开测试。

## 几个容易误会的地方

**需要购买域名吗？** 不需要。插件使用这台 Mac 的 Tailscale 地址，不提供自定义域名映射。

**手机可以开关远程入口吗？** 不可以。远程设备可以查看状态和复制地址，管理操作只在 Mac 本机开放。

**为什么没有设备授权列表或确认码？** 设备与人员权限由 Tailscale 管理。插件不再维护另一套容易让人误以为“确认过才有权限”的记录。

**看到二维码，就表示手机一定能连上吗？** 不表示。手机仍需连接 Tailscale，并具备访问这台 Mac 的权限；最终以实际打开并正常使用 Harness 为准。

## 安全和隐私

- 开启和关闭入口同时要求同源请求、Mac 本机访问和本机管理令牌。
- 正常 Serve 入口的访问资格由 Tailscale 账号、设备和 ACL 管理；二维码不承担身份验证。
- 访问二维码由本机的 MIT 许可编码器生成，不调用外部二维码接口，只编码远程 HTTPS 地址。
- 公共健康接口只返回插件可用性和版本，不公开 PID、端口、引擎版本或本机路径。
- 自动写入当前 Tailscale 地址前最多保留五份配置备份，并采用同步落盘和原子替换。

公网提示依据 Tailscale 的 [Serve 配置定义](https://github.com/tailscale/tailscale/blob/main/ipn/serve.go)，按域名、端口及直接指向 Harness 的 HTTP/TCP 转发进行匹配，也检查前台配置。它只读配置，不开启 Funnel、不自动关闭其他服务。检测到相关 Funnel 或无法判断时，不展示常规扫码入口；必须先在 Mac 上核查对应配置。

“未发现”只表示没有匹配到这类直接转发配置，不是安全审计，不覆盖路由器端口映射、其他反向代理或间接转发，也不能证明手机端一定可达。

## 0.7.1 更新

- 移除手动添加、删除访问域名的界面和接口，保留当前 Tailscale 地址的自动设置，不主动清理已有的其他地址。
- 修复部分设置失败后没有继续入口的问题；重试只补齐缺失设置。
- 新增针对 Harness 的 Funnel 公网配置提示；读取失败时显示未知状态，不误报安全。
- 明确区分“需要重启服务”和“刷新网页”，避免配置已保存却尚未生效时反复尝试。

## 开发与发布

运行完整验证：

```bash
npm test
```

验证覆盖语法、权限边界、路由契约、页面状态、配置保存失败后的重试，以及一次临时 dsh Web 启动。Funnel 检测使用隔离配置，覆盖其他服务、不同端口、前台配置和无法解析的状态，不需要把真实服务公开到互联网。

仓库维护者或本机开发者验证通过后，可以部署到受保护的本机开发环境：

```bash
node scripts/deploy.mjs
```

普通用户不需要运行部署脚本，直接从 npm 安装即可。发布新版本前，可用 `npm pack --dry-run` 检查实际入包文件；仓库也提供 GitHub Trusted Publishing 工作流，需先在 npm 包设置中配置可信发布者。

## 许可

[MIT](LICENSE)