khiqwq/dsh-system-proxy

dsh-system-proxy

DeepSeek Harness（DSH）的出站网络路由插件。它在 DSH 主进程中统一接管 fetch 与可选的 node:http / node:https 请求，根据目标主机及显式调用上下文，在直连、HTTP(S) 代理和 SOCKS4/4a/5/5h 代理之间选择线路；支持直连优先的故障回退、逐跳重定向重新决策、每主机健康记忆，以及内网/云元数据端点的默认保护。

当前版本已实现下述全部能力并通过 npm test（81 项断言 + 真实 Cordis loader 挂载/热重载验证）。

目标能力

• HTTP、HTTPS、SOCKS4、SOCKS4a、SOCKS5、SOCKS5h 代理；
• 多个具名代理（named proxies）；
• 按 host、provider、plugin 路由；
• direct、proxy、fallback、block 四种动作；
• 直连失败或延迟过高时使用代理保底；
• 每目标 EWMA 延迟、失败冷却（cooldown）与健康记忆；
• 显式 provider/plugin 上下文，不伪造调用方身份；
• 代理凭据脱敏、安全日志和热重载恢复。

工作原理

插件加载后：

1. 包装 globalThis.fetch，按规则选择直连或代理 dispatcher；
2. patchNodeHttp: true 时包装 node:http / node:https 的 request 与 get；
3. 用 AsyncLocalStorage 传递显式 provider / plugin 信息；
4. 为 fallback 目标保存直连 EWMA 延迟及失败冷却；
5. 插件销毁或热重载时还原自己安装的包装器，并关闭代理 Agent。

这是进程级全局补丁。同一进程内不应同时加载多个相互竞争的传输包装插件；本插件在还原时只恢复仍指向自身包装器的全局对象，不覆盖后来安装的包装器。

安装

源码仓库：https://github.com/khiqwq/dsh-system-proxy

从源码安装：

git clone https://github.com/khiqwq/dsh-system-proxy.git
cd dsh-system-proxy
npm install
npm test
npm run build
npm run client-test

cd "$env:DSH_HOME\profiles\<name>"
npm install <dsh-system-proxy 源码目录的绝对路径>
# 将 "dsh-system-proxy" 加入 package.json 的 dsh.profile.bundles

发布后可使用：

dsh plugin --profile <name> add dsh-system-proxy

本包声明了 dsh.bundle.patch，安装为 DSH profile bundle 后会提供 system-proxy loader entry。

配置

交互式配置

安装到带有 Settings 服务的 DSH profile 后，插件会以 system-proxy 命名空间注册交互式配置，并通过包内 ./client Web bundle 在 DSH Settings → 插件页面显示可折叠的 系统代理 / System Proxy 配置卡。卡片沿用官方 PluginCard 的紧凑层级、原生 DSH CSS variables、field grid、状态 badge 与 primary/secondary actions；中文 locale 自动显示中文，其他 locale 使用英文 fallback。双语词典由 @deepseek-ai/dsh-client-locale 注册并实时订阅切换。卡片可编辑基础开关、代理 URL、passwordRef 和只写密码；所有输入先保存在浏览器本地草稿中，折叠不会丢失草稿，只有回车或点击 保存并加密 / Save and encrypt 才写入。URL 是普通可见 endpoint 字段并明确拒绝 user:pass@ userinfo；真正的密码输入使用 type=password。命名空间不可用时卡片不会出现；只读状态和保存失败会在卡片内明确显示。保存后插件会串行停止旧传输包装并按最新配置热重装，无需手工编辑 patch 或重启主进程。loader entry 中的 config 作为 base 层：没有用户设置时保持原行为，清除用户覆盖后也会回落到该 base。

代理密码必须优先使用 passwordRef：隐式 default 代理默认使用 DSH_PROXY_PASSWORD（也可改成其他环境变量格式标识符），保存时先写 credential，再写 passwordRef 与其他 settings。保存后密码草稿立即清空，页面重新打开时只通过 credentials.describe() 获取“已配置/未配置”，不会调用 resolve()、回填原文、显示首尾或显示 DPAPI 密文；密码仅通过单向 credentials.set() 提交，绝不会保存到 settings。配套的 dsh-credentials-system 使用 Windows 当前用户绑定的 DPAPI 密文存储，并替换默认的明文 dsh-credentials-local。role("secret") 只负责页面/API 脱敏，本身不等于磁盘加密。