dsh-ops-console

dsh-ops-console

Mac 留在桌边，换到手机上继续用 Harness。

dsh-ops-console 是 DeepSeek Harness 的可选 Web 插件，入口在“设置 → 远程访问”。它把 Tailscale 入口设置、连接状态和访问二维码放在一起，让你不用手动拼命令、填写域名，就能准备好远程访问。

它不会把 Harness 默认公开到互联网。正常使用方式是：Mac 和手机都连接到获准访问的 Tailscale 网络，再通过二维码或地址打开 Harness。

在 npm 查看 dsh-ops-console

它解决什么问题

远程打开 Harness，真正麻烦的往往不是得到一个网址，而是回答下面几件事：Tailscale 到底有没有连上？Harness 是否已经准备好？关掉入口会不会误伤其他服务？

dsh-ops 主要做四件事：

• 准备入口：为 Harness 创建 Tailscale Serve 入口，并自动配置当前 Tailscale 地址；遇到冲突会停止，不直接覆盖其他服务。
• 扫码打开：显示就绪状态、本地生成的二维码和可复制地址。开启与关闭入口只能在 Mac 本机操作。
• 失败后能继续：如果入口已创建，但 Harness 设置没有保存成功，点“继续完成设置”即可重试，不必先关掉重来。
• 发现公网配置时提醒：检测到直接指向 Harness 的 Funnel 配置时显示警告，暂停展示常规扫码入口，不自动修改其他服务。

dsh-ops 有意不做引擎管理：它不会安装、更新、重启或恢复 Harness，也不读取余额、日志、API Key、提示词或会话正文。这些本机能力由 dsh-desktop 负责。

开始使用

开始前，请确认这台 Mac 已经有可正常使用的 dsh Web profile、Node.js 18 或更高版本，并已安装和登录 Tailscale。

1. 安装插件

推荐从 npm 安装：

dsh plugin --profile web add dsh-ops-console

也可以安装 GitHub 版本：

dsh plugin --profile web add github:wendyltan/dsh-ops-console

本地开发时，也可以直接安装源码目录：

dsh plugin --profile web add /path/to/dsh-ops-console

安装后重新启动 dsh Web 服务，进入“设置 → 远程访问”。如果使用 dsh-desktop，请通过客户端的服务管理操作重启；只刷新网页不会加载新插件。

2. 在 Mac 上准备远程入口

点击“设置远程访问”。dsh-ops 会为 Harness 创建 Tailscale Serve 入口，并自动完成当前 Tailscale 地址所需的 Harness 设置；用户不需要填写自定义域名。

如果 HTTPS 根地址已经被其他服务使用，操作会停止并说明冲突，不会直接覆盖。页面提示“Harness 等待重启”时，重新启动 Harness 服务即可；下次加载后，dsh-ops 会再次确认设置是否已经生效。

如果提示“入口已创建，Harness 设置尚未完成”，按页面说明检查配置目录权限，然后点击“继续完成设置”。插件只补齐缺失设置，不重新创建已有入口。提示需要重新启动时，必须重新启动 Harness 服务；仅刷新网页不生效。

3. 扫码打开

入口就绪后，页面会直接显示二维码和 HTTPS 地址。在已经登录获准 Tailscale 账号的手机或电脑上扫码，或者复制地址打开即可。

正常使用 Serve 时，实际哪些用户和设备可以访问，由 Tailscale 的访问规则（ACL）决定；dsh-ops 不会绕过或替代这层权限。二维码只包含远程 HTTPS 地址，在 Mac 本地生成，不会把地址发送给第三方二维码服务。

扫码不是授权，也不是必经步骤。 已获准访问的设备直接输入同一个地址，也可以打开 Harness。

谁能做什么

能力	Mac 本机	Tailscale 远程设备
查看入口状态和复制地址	可以	可以
开启或关闭远程入口	可以	不可以
更新、重启、恢复引擎	不属于 dsh-ops	不属于 dsh-ops

关闭远程访问时，dsh-ops 只移除 Harness 自己的 Serve 入口，不执行全局 tailscale serve reset，因此不会删除其他 Tailscale Serve 配置。

如果设备丢失，应在 Tailscale 中撤销该设备或调整 ACL。若要关闭 Harness 的远程入口，可以在 Mac 本机展开“更多访问设置”操作；它不会修改 Tailscale ACL，也不会影响其他应用的 Serve 入口。

页面上的状态是什么意思

页面状态	发生了什么	你可以怎么做
Tailscale 未连接	应用未运行、未登录或当前离线	在 Mac 上打开并登录 Tailscale
入口未创建	还没有为 Harness 配置 Serve	在 Mac 本机点击“设置远程访问”
Harness 设置未完成	入口已创建，自动保存配置尚未成功	检查目录权限后点击“继续完成设置”
Harness 等待重启	远程设置已保存，Harness 尚未载入	重新启动 Harness 服务，不能只刷新网页
远程入口已开启	Mac 端的三项配置已经就绪	扫码或复制地址，在另一台设备打开
请检查公网访问配置	检测到直接指向 Harness 的 Funnel 配置	在 Mac 上核查并关闭对应入口的 Funnel
无法确认 Funnel 配置	状态读取失败或配置无法识别	检查本机 Tailscale；不要把“未知”当成“安全”

“检测连接”会从 Mac 本机访问远程 HTTPS 地址。它可以证明本机端配置完成，但不能代替你在手机或另一台电脑上的真实打开测试。

几个容易误会的地方

需要购买域名吗？ 不需要。插件使用这台 Mac 的 Tailscale 地址，不提供自定义域名映射。

手机可以开关远程入口吗？ 不可以。远程设备可以查看状态和复制地址，管理操作只在 Mac 本机开放。

为什么没有设备授权列表或确认码？ 设备与人员权限由 Tailscale 管理。插件不再维护另一套容易让人误以为“确认过才有权限”的记录。

看到二维码，就表示手机一定能连上吗？ 不表示。手机仍需连接 Tailscale，并具备访问这台 Mac 的权限；最终以实际打开并正常使用 Harness 为准。

安全和隐私

• 开启和关闭入口同时要求同源请求、Mac 本机访问和本机管理令牌。
• 正常 Serve 入口的访问资格由 Tailscale 账号、设备和 ACL 管理；二维码不承担身份验证。
• 访问二维码由本机的 MIT 许可编码器生成，不调用外部二维码接口，只编码远程 HTTPS 地址。
• 公共健康接口只返回插件可用性和版本，不公开 PID、端口、引擎版本或本机路径。
• 自动写入当前 Tailscale 地址前最多保留五份配置备份，并采用同步落盘和原子替换。

公网提示依据 Tailscale 的 Serve 配置定义，按域名、端口及直接指向 Harness 的 HTTP/TCP 转发进行匹配，也检查前台配置。它只读配置，不开启 Funnel、不自动关闭其他服务。检测到相关 Funnel 或无法判断时，不展示常规扫码入口；必须先在 Mac 上核查对应配置。

“未发现”只表示没有匹配到这类直接转发配置，不是安全审计，不覆盖路由器端口映射、其他反向代理或间接转发，也不能证明手机端一定可达。

0.7.1 更新

• 移除手动添加、删除访问域名的界面和接口，保留当前 Tailscale 地址的自动设置，不主动清理已有的其他地址。
• 修复部分设置失败后没有继续入口的问题；重试只补齐缺失设置。
• 新增针对 Harness 的 Funnel 公网配置提示；读取失败时显示未知状态，不误报安全。
• 明确区分“需要重启服务”和“刷新网页”，避免配置已保存却尚未生效时反复尝试。

开发与发布

运行完整验证：

npm test

验证覆盖语法、权限边界、路由契约、页面状态、配置保存失败后的重试，以及一次临时 dsh Web 启动。Funnel 检测使用隔离配置，覆盖其他服务、不同端口、前台配置和无法解析的状态，不需要把真实服务公开到互联网。

仓库维护者或本机开发者验证通过后，可以部署到受保护的本机开发环境：

node scripts/deploy.mjs

普通用户不需要运行部署脚本，直接从 npm 安装即可。发布新版本前，可用 npm pack --dry-run 检查实际入包文件；仓库也提供 GitHub Trusted Publishing 工作流，需先在 npm 包设置中配置可信发布者。

许可

MIT