dsh-webui-auth 使用指南
WebUI 身份认证：HTTP/传输层强制登录（资源、插件 bundle、/api、WebSocket 四层防护），服务端会话 + HttpOnly Cookie。
本文为派生内容（基于 wiki / faq / compatibility_json 自动组装），非 AI 即时创作。
本文由本站基于该插件已收录的字段自动派生（wiki / faq / compatibility_json / readme），非 AI 即时创作。每节末尾标源字段。
快速上手
WebUI 身份认证：HTTP/传输层强制登录（资源、插件 bundle、/api、WebSocket 四层防护），服务端会话 + HttpOnly Cookie。
— 源: plugins.ai_summary
安装与验证
dsh plugin --profile web add dsh-webui-auth
复制以上命令在 DSH Web Profile 内运行。安装完成后在「插件列表」启用即可。
— 源: plugins.install
关键要点
- 不修改核心包：dsh 升级不会覆盖补丁、不会产生「升级后 /api 裸奔」的窗口。插件每次启动对路由表重做包装，并用 2s→10s 重扫捕获晚注册路由。
- fail-closed：若预期路由缺失（dsh 内部结构变化导致包装不上），
setup/configure会拒绝启用认证，并在宿主日志与设置页同时报错——宁可不可用，不可「开了登录却裸奔 /api」。 - 反代/局域网下的特权方法：已认证请求由插件在会话校验后以「回环形状」转交核心，使核心中回环钉死的特权方法（settings/credentials/agentPreset/llm.discoverModels）在反代部署下可用——会话 Cookie 闸门是比 Host 启发式更强的身份证明。
- WebSocket 与 trustedHosts：WS 升级握手仍受核心自身
isTrustedApiRequest限制，因此反代/局域网（非回环 Host）部署下，WS 下行需要同时在 dsh 配置中把对外域名加入client-connection.trustedHosts，否则即使已登录也会被拒绝升级。 -
- id: dsh-webui-auth
— 源: plugin_wiki.readme_zh (fallback readme_raw)
踩坑提醒
安装前请审阅上游仓库；本指南基于已收录字段自动派生，可能滞后于最新版本。如发现与官方文档冲突，请以上游为准。
— 来源：通用规则