dsh-zen-remote

手动改 ~/.dsh/profiles/web/package.json——dependencies 一行、bundles 一行：

{
  "dependencies": {
    "dsh-zen-remote": "^1.0.0"        // 本地开发换成 "link:/path/to/dsh-zen-remote"
  },
  "dsh": { "profile": { "bundles": [
    "@deepseek-ai/dsh-base",
    "@deepseek-ai/dsh-web-app",
    "dsh-zen-remote"
  ] } }
}

cd ~/.dsh/profiles/web && pnpm install
# 重启 dsh web

不想走 profile 安装流程的静态挂载写法见 cordis.patch.yml.example。

从旧的两包结构（dsh-mobile-pwa + @dsh-external/dsh-mobile-nav）升级：两行依赖、两条 bundle 换成上面的一行一条，并把 profile 的 cordis.patch.yml 里手挂 dsh-mobile-pwa/dsh-push.mjs 的那行删掉——推送现在随包自带。

# http {} 块里加一次
map $http_upgrade $connection_upgrade { default upgrade; '' close; }

server {
    listen 443 ssl http2;
    server_name dsh.example.com;

    ssl_certificate     /etc/letsencrypt/live/dsh.example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/dsh.example.com/privkey.pem;

    location / {
        proxy_pass http://127.0.0.1:3088;
        proxy_http_version 1.1;

        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;

        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        proxy_buffering off;
        proxy_read_timeout 3600s;
    }
}

dsh.example.com {
    reverse_proxy 127.0.0.1:3088
}

家宽拿不到公网 IP、或者不想在路由器上开端口时用这个：cloudflared 从你这台机器主动连出去，Cloudflare 那边负责域名、证书和入口，路由器一个端口都不用开。免费版够用。

前置：域名托管在 Cloudflare（NS 指过去）。

1. 打开 Zero Trust 控制台 → Networks → Tunnels → Create a tunnel → 选 Cloudflared，起个名字，创建后页面会给你一条带 token 的安装命令；

2. 在跑 DSH 的这台机器上执行那条命令（就是下面这个形状，token 用页面给的）：

   # macOS / Linux：装成常驻服务，开机自启
   cloudflared service install eyJhIjoi...你的token
   

3. 回到隧道详情页 → Public Hostname → Add a public hostname：

   字段	填什么
   Subdomain / Domain	dsh / example.com（即 dsh.example.com）
   Service Type	HTTP
   URL	127.0.0.1:3088

   保存后 https://dsh.example.com 就通了，证书 Cloudflare 自动签。网关的 LAN_GATE_HOST 保持默认 127.0.0.1 即可——cloudflared 就在本机。

装完必须做第 2 步的 403 自检，这一步对隧道尤其要紧：cloudflared 和网关走的是本机回环连接，网关区分「公网访客」和「坐在这台电脑前的你」，全靠隧道有没有带上 X-Forwarded-For。cloudflared 默认是带的，所以配对墙正常生效；但万一你的版本或配置把它去掉了，公网请求就会被当成本机管理员，配对墙形同虚设——用手机流量访问 /lan-gate/admin，看到 403 才算安全。

提示：不用设 LAN_GATE_TRUSTED_PROXIES——网关本来就把回环来的连接当作可信反代，填 127.0.0.1 是空操作，也不能替代上面那个自检。

Cloudflare 免费版支持 WebSocket（DSH 对话流需要），单个请求体上限 100MB，高于本插件默认的 20MB 上传上限，不影响使用。

命令行流程（cloudflared tunnel login / create / route dns + config.yml 里写 ingress）见 docs/remote-access.md。