@feiyang666/dsh-mobile-remote 1.7.1-1 → 1.8.1

package/lib/index.js

@@ -33,6 +33,7 @@ import {
   existsSync, readFileSync, writeFileSync, unlinkSync, mkdirSync, rmSync,
 } from 'node:fs'
 import { spawn } from 'node:child_process'
+import http from 'node:http'
 import qrcode from './qrcode.js'
 import {
   startExternal, stopExternal, externalView,
@@ -44,6 +45,10 @@ import {
   isEnabled, login, verifyToken, revokeToken, clearSessions,
 } from './password.js'
 import { wsAvailable } from './ws-client.js'
+import {
+  patchFilePath, isManagedPatchEnabled,
+  collectTrustedAuthorities, writeManagedPatch,
+} from './patch.js'
 
 /** 插件名（loader 诊断用）。 */
 export const name = 'dsh-mobile-remote'
@@ -51,6 +56,170 @@ export const name = 'dsh-mobile-remote'
 /** 依赖 dsh-host-webserver 注入的 webServer 服务，保证 tapIndex / register 可用。 */
 export const inject = ['webServer']
 
+// ------------------------------------------------------------
+//  新版 dsh（>=0.1.2-rc.1）Web UI 浏览器会话认证适配
+//  新版 dsh 每次启动生成一次性令牌，任何浏览器访问首页都必须先带
+//  `?token=`（服务端 303 + Set-Cookie 后跳回 /），否则返回 401。手机扫码 /
+//  手动输入 LAN 地址访问的是同一个 dsh Web UI，同样受该认证保护。
+//  因此本插件在返回「手机访问地址 / 二维码 URL / 外网 URL」时，若宿主提供了
+//  官方 connection 服务（dsh-client-connection 的 BrowserAuth），就用其
+//  authenticatedUrl() 自动附加 token；老版 dsh（无 connection / 无认证）时
+//  返回原 URL，行为与旧版完全一致。
+// ------------------------------------------------------------
+/**
+ * 用宿主 connection 服务的 authenticatedUrl() 给访问 URL 附加认证 token。
+ * 老版 dsh（无 connection / 未提供该方法）时原样返回，兼容旧版与命令行裸启。
+ * @param {import('@deepseek-ai/cordis').Context} ctx
+ * @param {string} base - 形如 http://192.168.1.5:3080 的裸访问地址
+ * @returns {string} 带 token 的完整访问地址（或原地址）
+ */
+function resolveConnection(ctx) {
+  if (!ctx) return undefined
+  // 1) cordis：ctx.get(name) 默认 strict=true，只返回「provider fiber 已激活」的服务。
+  //    插件 fiber 未 inject connection 时可能取不到，故补非严格与属性两条回退。
+  if (typeof ctx.get === 'function') {
+    try {
+      const strict = ctx.get('connection')
+      if (strict) return strict
+    } catch (e) { /* 继续回退 */ }
+    try {
+      const loose = ctx.get('connection', false)
+      if (loose) return loose
+    } catch (e) { /* 继续回退 */ }
+  }
+  // 2) 少数宿主把服务直接挂在 ctx 上（ctx.connection 在未 inject 时可能抛错）。
+  try {
+    if (ctx.connection) return ctx.connection
+  } catch (e) { /* 忽略 */ }
+  return undefined
+}
+
+function withAuthUrl(ctx, base) {
+  if (!base || typeof base !== 'string') return base
+  try {
+    const conn = resolveConnection(ctx)
+    if (conn && typeof conn.authenticatedUrl === 'function') {
+      return conn.authenticatedUrl(base)
+    }
+  } catch (e) { /* 取 connection 失败则按无认证处理，返回原 URL */ }
+  return base
+}
+
+/**
+ * 把「带 token 的绝对地址」降级成 origin 相对的 `/?token=…`。
+ * 浏览器按当前协议 + authority 解析，因此 http / https / 反代路径前缀都能正确工作，
+ * 也避开了反代跨协议 301 丢 token 的问题。
+ * @param {string|null} absUrl - authenticatedUrl() 的返回值
+ * @returns {string|null} 形如 `/?token=xxx` 的相对地址；拿不到 token 时返回 null
+ */
+function relativeTokenLocation(absUrl) {
+  if (!absUrl || typeof absUrl !== 'string') return null
+  try {
+    const u = new URL(absUrl)
+    // 直接透传原始 pathname + search，不解析、不重新编码 token：
+    // token 是 base64url，经 searchParams 往返会引入 +/空格 之类的编码歧义。
+    if (!u.search || !/[?&]token=/.test(u.search)) return null
+    const path = u.pathname && u.pathname !== '' ? u.pathname : '/'
+    return `${path}${u.search}`
+  } catch (e) {
+    return null
+  }
+}
+
+
+/**
+ * 判断该请求对浏览器而言的真实协议。
+ * 外网访问通常经 nginx / frp 反代，本机看到的永远是明文 HTTP，
+ * 因此必须优先信任反代设置的 X-Forwarded-Proto，否则会生成 http:// 跳转，
+ * 被反代再 301 回 https，形成协议来回跳转。
+ * @param {import('node:http').IncomingMessage} req
+ * @returns {'http'|'https'}
+ */
+function requestScheme(req) {
+  try {
+    const xf = req.headers['x-forwarded-proto']
+    if (typeof xf === 'string' && xf.trim()) {
+      // 可能是 "https, http" 这样的列表，取最外层（第一个）。
+      const first = xf.split(',')[0].trim().toLowerCase()
+      if (first === 'https' || first === 'http') return first
+    }
+    // 直连时按 socket 是否 TLS 判断（本插件自身不终结 TLS，通常为 http）。
+    if (req.socket && req.socket.encrypted) return 'https'
+  } catch (e) { /* 忽略，回落 http */ }
+  return 'http'
+}
+
+/**
+ * 取宿主的浏览器会话认证器（connection.browserAuth）。
+ * 新版 dsh（>=0.1.2）由它完成 token → cookie 的官方握手；
+ * HostConnectionService 自身即 BrowserAuth 的委托层，字段不可见时可直接复用。
+ * @param {import('@deepseek-ai/cordis').Context} ctx
+ * @returns {object|undefined}
+ */
+function resolveBrowserAuth(ctx) {
+  const conn = resolveConnection(ctx)
+  if (!conn) return undefined
+  if (conn.browserAuth) return conn.browserAuth
+  if (typeof conn.authorizeIndex === 'function' && typeof conn.authenticatedUrl === 'function') return conn
+  return undefined
+}
+
+// ------------------------------------------------------------
+//  裸地址直达（自动登录）
+//  手机 / 远程设备直接访问裸地址（http://192.168.x.x:3080，不带 token）时，
+//  官方 dsh 会返回 401 纯文本提示。本插件接管 GET /：
+//    · 未授权  → 302 到带 token 的 URL（服务端自动完成官方 303 + Set-Cookie）
+//    · 已授权  → 返回官方 index（经内部请求取回，含全部 index taps 注入）
+//  官方 token → cookie 的握手完整保留，只是把「手动重开带 token 链接」自动化。
+//  内部拉取时需临时注销本插件的 / 路由，让请求直达官方 index owner。
+// ------------------------------------------------------------
+
+/** 简易 HTTP GET：收集 cookie、跟随 3xx 重定向（最多 4 跳），返回最终响应。 */
+function httpFollow(startUrl, maxRedirects = 4) {
+  return new Promise((resolve) => {
+    const jar = new Map()
+    let current = startUrl
+    let hops = 0
+    const step = () => {
+      if (hops++ > maxRedirects) return resolve(null)
+      let u
+      try { u = new URL(current) } catch { return resolve(null) }
+      const headers = {}
+      if (jar.size) headers.cookie = [...jar.entries()].map(([k, v]) => `${k}=${v}`).join('; ')
+      const req = http.request({
+        host: u.hostname, port: Number(u.port) || 80,
+        path: u.pathname + (u.search || ''), method: 'GET', headers, timeout: 8000,
+      }, (res) => {
+        for (const sc of res.headers['set-cookie'] || []) {
+          const kv = String(sc).split(';')[0]
+          const at = kv.indexOf('=')
+          if (at > 0) jar.set(kv.slice(0, at).trim(), kv.slice(at + 1).trim())
+        }
+        if (res.statusCode >= 300 && res.statusCode < 400 && res.headers.location) {
+          res.resume()
+          try { current = new URL(res.headers.location, current).href } catch { return resolve(null) }
+          return step()
+        }
+        const chunks = []
+        res.on('data', (c) => chunks.push(c))
+        res.on('end', () => {
+          if (res.statusCode !== 200) return resolve(null)
+          const keep = {}
+          for (const h of ['content-type', 'cache-control', 'content-security-policy', 'referrer-policy', 'x-content-type-options']) {
+            if (res.headers[h]) keep[h] = res.headers[h]
+          }
+          resolve({ status: 200, headers: keep, body: Buffer.concat(chunks) })
+        })
+        res.on('error', () => resolve(null))
+      })
+      req.on('timeout', () => { req.destroy(); resolve(null) })
+      req.on('error', () => resolve(null))
+      req.end()
+    }
+    step()
+  })
+}
+
 /** 移动端断点：与 DSH 原生 SIDEBAR_AUTO_COLLAPSE = 1024 对齐。 */
 const MOBILE_MAX_WIDTH = 1024
 
@@ -128,6 +297,113 @@ export function apply(ctx) {
       // —— Service Worker：远程访问首屏缓存加速（仅 HTTPS 外网生效）——
       ctx.webServer.register({ kind: 'exact', path: '/__dsh_remote/sw.js', handler: handleServiceWorker() }),
     ]
+
+    // —— 裸地址直达（自动登录）：接管 GET / ——
+    // 未授权访问裸地址时 302 到带 token 的 URL（浏览器自动完成官方 303 + Set-Cookie），
+    // 已授权时返回官方 index。官方 token→cookie 握手完整保留。
+    let rootDisposed = false
+    let rootRouteDisposer = null
+    let rootIndexCache = null // { headers, body } 官方最终 index（含全部 index taps 注入）
+    let rootIndexJob = null
+
+    const registerRootRoute = () => {
+      if (rootDisposed || rootRouteDisposer) return
+      rootRouteDisposer = ctx.webServer.register({ kind: 'exact', path: '/', handler: rootHandler })
+    }
+
+    // 内部拉取官方 index：临时注销本插件的 / 路由，让请求直达官方 index owner
+    // （frontend-static，经完整授权检查与全部 taps），取回最终 HTML 后缓存并重新注册。
+    // 关键：必须用「带 token 的本机地址」拉取；若宿主启用浏览器会话认证而此处拿不到
+    // token，官方会回 401，则 rootIndexCache 保持 null，由调用方回退到官方 index owner。
+    const ensureRootIndex = () => {
+      if (rootIndexCache) return Promise.resolve(rootIndexCache)
+      if (!rootIndexJob) {
+        rootIndexJob = (async () => {
+          if (rootRouteDisposer) { try { rootRouteDisposer() } catch { /* ignore */ } rootRouteDisposer = null }
+          try {
+            await new Promise((r) => setTimeout(r, 30))
+            const p = port || 3080
+            const tokenUrl = withAuthUrl(ctx, `http://127.0.0.1:${p}/`)
+            const same = tokenUrl === `http://127.0.0.1:${p}/`
+            rootIndexCache = await httpFollow(tokenUrl)
+            // 无 token 可用且官方回 401：说明宿主强制认证但本上下文取不到 browserAuth。
+            // 绝不能把空结果当成可用 index，交由调用方走官方 index owner。
+            if (same && rootIndexCache === null) {
+              try { ctx.logger?.warn?.('[dsh-mobile-remote] 无法获取浏览器会话 token：首页自动登录不可用，已交回官方认证') } catch { /* ignore */ }
+            }
+          } catch { /* 保持 null，由调用方回退 */ }
+          registerRootRoute()
+          rootIndexJob = null
+          return rootIndexCache
+        })()
+      }
+      return rootIndexJob
+    }
+
+    async function handleRootRequest(req, res) {
+      const conn = resolveConnection(ctx)
+      const ba = resolveBrowserAuth(ctx)
+      let url
+      try { url = new URL(req.url ?? '/', 'http://x') } catch { url = new URL('/', 'http://x') }
+      if (ba) {
+        if (url.searchParams.has('token') && typeof ba.authorizeIndex === 'function') {
+          // 带 token：走官方握手（匹配 → 303 + Set-Cookie；无效 → 官方 401），浏览器自动跟随
+          const ok = ba.authorizeIndex(req, res)
+          if (!ok) return
+          // ok===true：该请求已可授权，继续 serve index
+        } else if (typeof ba.isAuthenticated === 'function' && !ba.isAuthenticated(req)) {
+          // 未授权的裸地址访问：自动登录——302 到带 token 的地址，
+          // 浏览器自动完成官方 303 + Set-Cookie 后回到裸 /，全程无感。
+          const host = req.headers.host || `127.0.0.1:${port || 3080}`
+          const scheme = requestScheme(req)
+          const target = typeof conn.authenticatedUrl === 'function'
+            ? conn.authenticatedUrl(`${scheme}://${host}/`)
+            : (typeof ba.authenticatedUrl === 'function' ? ba.authenticatedUrl(`${scheme}://${host}/`) : null)
+          // 关键：跳转地址一律降级为「相对地址」（只保留 ?token=…）。
+          // 原因是外网访问经 nginx / frp 反代时，本进程只看到明文 HTTP，
+          // 无法可靠推断浏览器侧的协议：若发出 http:// 绝对地址，反代会再
+          // 301 回 https，且 token 在这一次跨协议跳转中被丢掉，握手永远完不成
+          // （表现为外网打不开、/api 一直 401）。相对地址由浏览器按当前
+          // 协议与 authority 自行解析，http/https/反代前缀全都正确。
+          const relative = relativeTokenLocation(target)
+          if (relative) {
+            res.writeHead(302, { location: relative, 'cache-control': 'no-store' })
+            res.end()
+            return
+          }
+          // 取不到 token：不能回 302 到自身（会导致浏览器无限重定向循环），
+          // 明确回 401，交回官方语义。
+          res.writeHead(401, { 'content-type': 'text/plain; charset=utf-8', 'cache-control': 'no-store' })
+          res.end('dsh web authentication required; reopen the URL printed by dsh web.\n')
+          return
+        }
+      }
+      // 已授权 / 老版 dsh 无认证 / 取不到 browserAuth：交回官方 index owner。
+      // token 可用时 ensureRootIndex 会带回完整 index；否则保持 null，由下方回退。
+      const idx = await ensureRootIndex()
+      if (idx) {
+        res.writeHead(200, idx.headers)
+        res.end(idx.body)
+        return
+      }
+      if (ba) {
+        // 已确证存在认证器却仍拿不到 index：说明确实需要认证，明确回 401，
+        // 而不是把 503「启动中」这种误导性状态返回给手机端。
+        res.writeHead(401, { 'content-type': 'text/plain; charset=utf-8', 'cache-control': 'no-store' })
+        res.end('dsh web authentication required; reopen the URL printed by dsh web.\n')
+        return
+      }
+      res.writeHead(503, { 'content-type': 'text/plain; charset=utf-8' })
+      res.end('dsh web is starting, please try again in a moment.')
+    }
+
+    const rootHandler = (req, res) => {
+      void handleRootRequest(req, res).catch(() => {
+        try { if (!res.headersSent) { res.writeHead(500); res.end() } } catch { /* ignore */ }
+      })
+    }
+    registerRootRoute()
+
     const timer = setInterval(() => {
       const now = Date.now()
       for (const [id, info] of devices) {
@@ -140,11 +416,40 @@ export function apply(ctx) {
       const patchFile = patchFilePath(ctx)
       void autoRestoreExternal(external, patchFile, ctx.webServer.port || 3080)
     }
+
+    // ---- 端口自适应 ----
+    // frpc 代理的 localPort 必须始终等于当前真实监听端口，否则流量会打到无人监听
+    // 的端口上，表现为外网域名 502 Bad Gateway（frpc 日志：connect to local
+    // service ... refused）。端口可能因 --port 变更、被占用后回退到 0（OS 分配）、
+    // 或 profile patch 改动而变化，因此这里持续跟随，变化即重新绑定隧道。
+    let lastKnownPort = ctx.webServer.port || 0
+    const portWatcher = setInterval(() => {
+      const now = ctx.webServer.port || 0
+      if (!now || now === lastKnownPort) return
+      const from = lastKnownPort
+      lastKnownPort = now
+      const persisted = loadPersistedState()
+      // 仅在隧道确实在跑、且有绑定码可复用时才自动重绑（避免无谓打中转服务器）。
+      if (external.proc && external.proc.exitCode === null && persisted && persisted.bindCode) {
+        void startExternal(external, {
+          bindCode: persisted.bindCode,
+          serverBase: persisted.serverBase || undefined,
+        }, patchFilePath(ctx), now).catch(() => { /* 状态由 startExternal 内部记录 */ })
+        try {
+          ctx.logger?.info?.(`[dsh-mobile-remote] 监听端口 ${from} → ${now}，外网隧道已自适应重绑`)
+        } catch { /* ignore */ }
+      }
+    }, 15_000)
+
     return () => {
       clearInterval(timer)
       clearInterval(dshTimer)
+      clearInterval(portWatcher)
       stopFrpc(external)
       for (const dispose of disposers) dispose()
+      // 裸地址直达（/ 接管）路由的清理
+      rootDisposed = true
+      if (rootRouteDisposer) { try { rootRouteDisposer() } catch { /* ignore */ } rootRouteDisposer = null }
     }
   }, 'dsh-mobile-remote: api routes')
 }
@@ -449,7 +754,9 @@ function handleEvents() {
   }
 }
 
-/** GET /__dsh_remote/auth-status：返回远程访问密码的启用状态与本次请求是否需鉴权。 */
+/** GET /__dsh_remote/auth-status：返回远程访问密码的启用状态与本次请求是否需鉴权。
+ *  额外返回 service 摘要（服务名 / 本机主机名 / dsh 版本 / 当前访问域名），
+ *  供密码门禁界面展示"当前是谁在提供服务"等更多信息。 */
 function handleAuthStatus() {
   return async (req, res) => {
     json(res, 200, {
@@ -459,6 +766,13 @@ function handleAuthStatus() {
       required: isRemoteRequest(req) && isEnabled(),
       authenticated: authorized(req),
       remote: isRemoteRequest(req),
+      // 服务信息：密码界面上展示（"服务者"以本机主机名标识）
+      service: {
+        name: 'DeepSeek Harness',
+        hostname: hostname(),
+        version: detectDshVersion() || '',
+        host: String(req.headers.host || ''),
+      },
     })
   }
 }
@@ -497,8 +811,10 @@ function handleLogout() {
 }
 
 /**
- * POST /__dsh_remote/set-password { password }（仅本机/内网来源可用）：
- * 设置或修改远程访问密码。远程来源被拒绝，防止外部任意篡改。空密码=清除。
+ * POST /__dsh_remote/set-password { password, currentPassword }（仅本机/内网来源可用）：
+ * 设置或修改远程访问密码。远程来源被拒绝，防止外部任意篡改。
+ * 安全要求：已设置过密码时，修改或清除都必须携带 currentPassword 并验证通过，
+ * 防止"改密码/清密码"接口被无鉴权滥用。
  */
 function handleSetPassword() {
   return async (req, res) => {
@@ -508,6 +824,14 @@ function handleSetPassword() {
     }
     const body = await readBody(req)
     const password = typeof body.password === 'string' ? body.password : ''
+    const current = typeof body.currentPassword === 'string' ? body.currentPassword : ''
+    // 已设置密码时：修改 / 清除都必须先验证当前密码（防未授权篡改门禁）
+    if (isEnabled()) {
+      if (!verifyPassword(current)) {
+        json(res, 401, { ok: false, code: 'BAD_CURRENT_PASSWORD', message: '当前密码不正确，无法修改或清除' })
+        return
+      }
+    }
     // 密码强度检查
     if (password && password.length < 4) {
       json(res, 400, { ok: false, code: 'WEAK_PASSWORD', message: '密码至少 4 位' })
@@ -635,72 +959,21 @@ async function queryServerStatus(base, bindCode) {
   return data
 }
 
-/** 当前 profile 的 cordis.patch.yml 绝对路径。 */
-function patchFilePath(ctx) {
-  // DSH_HOME 环境变量优先，否则 ~/.dsh；profile 名为 DSH_PROFILE 或默认 web。
-  const home = process.env.DSH_HOME || join(homedir(), '.dsh')
-  const profile = process.env.DSH_PROFILE || 'web'
-  return join(home, 'profiles', profile, 'cordis.patch.yml')
-}
-
 /**
- * 从 profile 的 cordis.patch.yml 中读取补丁列表（YAML 数组）。
- * 不引入 yaml 依赖：远程控制仅需对 webserver 行做增删，采用精确文本匹配。
- * @returns {{ file: string, content: string, lines: string[] }}
+ * 开启 / 关闭远程控制：把受管区域整体重写进 profile 的 cordis.patch.yml。
+ * 必须同时写两块，缺一不可：
+ *   1) webserver.host = '0.0.0.0'  → 手机能连上（官方 CLI 拒绝 --host 0.0.0.0，
+ *      只有 patch 层能覆盖）。
+ *   2) connection.trustedHosts = ['192.168.x.x:port', ...] → 手机的 /api 请求
+ *      能通过 dsh 的 Host/Origin 信任围栏，否则页面能打开但功能全 403。
+ * @param {import('@deepseek-ai/cordis').Context} ctx
+ * @param {boolean} enabled
  */
-function readPatchFile(ctx) {
-  const file = patchFilePath(ctx)
-  const content = existsSync(file) ? readFileSync(file, 'utf8') : ''
-  return { file, content, lines: content.split(/\r?\n/) }
-}
-
-/** webserver 远程控制覆盖块的行区间（含分隔注释）。不存在返回 null。 */
-function findRemoteBlock(lines) {
-  const start = lines.findIndex((l) => l.includes('# --- dsh-mobile-remote managed'))
-  if (start === -1) return null
-  const end = lines.findIndex((l, i) => i > start && l.includes('# --- end dsh-mobile-remote managed'))
-  if (end === -1) return { start, end: lines.length }
-  return { start, end: end + 1 }
-}
-
-/** 检查当前 patch 中是否已启用远程控制。 */
-function isPatchEnabled(ctx) {
-  const { lines } = readPatchFile(ctx)
-  const block = findRemoteBlock(lines)
-  if (!block) return false
-  return lines.slice(block.start, block.end).some((l) => l.includes("host: '0.0.0.0'"))
-}
-
-/** 追加 / 移除 webserver host 覆盖块。 */
 function setPatchEnabled(ctx, enabled) {
-  const { file, content, lines } = readPatchFile(ctx)
-  const block = findRemoteBlock(lines)
-  let out = lines.slice()
-  // 移除官方模板的空数组占位行 `[]`：它单独构成一个 YAML 文档，与追加的
-  // 列表块拼接会形成无 `---` 分隔符的多文档流，js-yaml 解析报
-  // "end of the stream or a document separator is expected"，导致 dsh 服务启动即崩溃。
-  out = out.filter((l) => l.trim() !== '[]')
-
-  if (block) {
-    out.splice(block.start, block.end - block.start)
-  }
-  if (enabled) {
-    const blockLines = [
-      '',
-      '# --- dsh-mobile-remote managed (auto-generated; do not edit) ---',
-      '- id: webserver',
-      '  config:',
-      "    host: '0.0.0.0'",
-      '    port: !!js ctx.webStartup.port ?? ' + (ctx.webServer.port || 3080),
-      '# --- end dsh-mobile-remote managed ---',
-      '',
-    ]
-    out = [...out, ...blockLines]
-  }
-
-  const next = out.join('\n').replace(/\n{3,}/g, '\n\n').replace(/\s*$/, '\n')
-  writeFileSync(file, next, 'utf8')
-  return { file, enabled }
+  const port = ctx.webServer.port || 3080
+  // 局域网各网卡地址都要放行（手机与主机可能不在同一网段时命中的是不同网卡）。
+  const authorities = collectTrustedAuthorities({ lanAddresses: getLanAddresses(), port })
+  return writeManagedPatch(ctx, { enabled, port, authorities })
 }
 
 /** GET /__dsh_remote/status */
@@ -710,6 +983,8 @@ function handleStatus(ctx, devices, external, tracker, dshCache) {
     const remoteEnabled = ctx.webServer.host === '0.0.0.0'
     // 外网 frpc 是否仍在运行
     const extRunning = !!external.proc && external.proc.exitCode === null
+    // 手机访问地址统一附加新版 dsh 的浏览器会话 token（无认证时返回原 URL）
+    const authUrl = (u) => withAuthUrl(ctx, u)
     // 已持久化的绑定信息（重启后自动恢复用，前端据此回填表单）
     const persisted = loadPersistedState()
     // 活跃设备详情列表（按最近活跃倒序）
@@ -763,11 +1038,13 @@ function handleStatus(ctx, devices, external, tracker, dshCache) {
       lanAddresses: lan,
       lanInterfaces: getLanInterfaces(),
       remoteEnabled,
-      patchEnabled: isPatchEnabled(ctx),
+      patchEnabled: isManagedPatchEnabled(ctx),
       deviceCount: devices.size,
       devices: deviceList,
       patchFile: patchFilePath(ctx),
-      url: lan.length ? `http://${lan[0]}:${ctx.webServer.port}` : null,
+      url: lan.length ? authUrl(`http://${lan[0]}:${ctx.webServer.port}`) : null,
+      // 全部局域网 IP 的「手机可访问」地址（已带新版 dsh 认证 token；无认证时即裸地址）
+      lanUrls: lan.map((ip) => authUrl(`http://${ip}:${ctx.webServer.port}`)),
       // 本机运行时信息（诊断用，设置页展示更详细的数据）
       runtime: runtimeInfo(),
       uptime: Math.floor(process.uptime()),
@@ -782,7 +1059,7 @@ function handleStatus(ctx, devices, external, tracker, dshCache) {
         enabled: extRunning,
         running: extRunning,
         status: external.status || 'idle',
-        url: extRunning ? external.url : null,
+        url: extRunning && external.url ? authUrl(external.url) : null,
         domain: external.domain,
         tunnelPort: external.tunnelPort,
         frpcVersion: external.frpcVersion || null,
@@ -987,44 +1264,109 @@ function injectIntoIndex(html, remoteEnabled) {
 /* ------------------------------------------------------------------ */
 
 const GATE_CSS = `
+/* DeepSeek 官网风格：深蓝黑底 + 极简白字 + 细边框 + 下划线输入 + 大留白 */
 #dsh-remote-gate {
   position: fixed; inset: 0; z-index: 2147483647;
   display: flex; align-items: center; justify-content: center;
-  background: rgba(15, 17, 26, 0.92);
-  backdrop-filter: blur(6px);
-  font-family: -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, sans-serif;
-  color: #e8e8ea;
+  padding: 24px; box-sizing: border-box;
+  background: #06101e;
+  font-family: -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, 'PingFang SC', 'Microsoft YaHei', sans-serif;
+  color: #fff;
+}
+/* 背景光斑纹理（参考官网深蓝氛围） */
+#dsh-remote-gate::before {
+  content: '';
+  position: absolute; inset: 0;
+  background:
+    radial-gradient(800px 500px at 18% 8%, rgba(70, 100, 170, 0.12), transparent 60%),
+    radial-gradient(700px 420px at 88% 92%, rgba(50, 70, 140, 0.10), transparent 60%);
+  pointer-events: none;
 }
 #dsh-remote-gate .gate-card {
-  width: min(360px, 88vw); box-sizing: border-box;
-  background: #1d2030; border: 1px solid rgba(255,255,255,.12);
-  border-radius: 14px; padding: 24px 22px;
-  box-shadow: 0 18px 50px rgba(0,0,0,.45);
+  position: relative;
+  width: min(360px, 92vw); box-sizing: border-box;
+  background: rgba(10, 18, 32, 0.85);
+  border: 1px solid rgba(255,255,255,.14);
+  border-radius: 14px; padding: 44px 36px 30px;
+  backdrop-filter: blur(10px);
+}
+/* Logo 组合：FishLogo + 文字 "deepseek | Harness"，胶囊圆角条（复刻官网 logo 与药丸按钮） */
+#dsh-remote-gate .gate-logo-wrap {
+  display: flex; align-items: center; justify-content: center; gap: 10px;
+  width: max-content; margin: 0 auto 28px;
+  padding: 10px 18px;
+  border: 1px solid rgba(255,255,255,.16);
+  border-radius: 999px;
+  background: rgba(255,255,255,.04);
 }
+#dsh-remote-gate .gate-logo {
+  width: 26px; height: 19px; color: #fff; display: block; flex: none;
+}
+#dsh-remote-gate .gate-wordmark {
+  font-size: 18px; line-height: 1; letter-spacing: .3px;
+  display: flex; align-items: center; gap: 8px;
+}
+#dsh-remote-gate .gate-wordmark .w-name { color: #fff; font-weight: 500; }
+#dsh-remote-gate .gate-wordmark .w-sep { color: #555; font-weight: 300; }
+#dsh-remote-gate .gate-wordmark .w-prod { color: #d0d0d0; font-weight: 400; }
+/* 标题 + 副标题 */
 #dsh-remote-gate .gate-title {
-  font-size: 17px; font-weight: 700; margin: 0 0 6px;
+  font-size: 16px; font-weight: 600; margin: 0 0 8px; text-align: center; letter-spacing: .2px;
 }
 #dsh-remote-gate .gate-sub {
-  font-size: 13px; color: #9aa0b5; margin: 0 0 16px; line-height: 1.5;
+  font-size: 13px; color: #8a8a8a; margin: 0 0 28px; line-height: 1.6; text-align: center;
+}
+/* 服务信息（访问地址 / 提供服务者 / 版本）：细边框、黑白灰 */
+#dsh-remote-gate .gate-service {
+  margin: 0 0 24px; padding: 12px 14px;
+  border: 1px solid rgba(255,255,255,.12);
+  border-radius: 10px;
+  font-size: 12px; color: #8a8a8a; line-height: 1.9;
+}
+#dsh-remote-gate .gate-service .sv-row {
+  display: flex; justify-content: space-between; align-items: baseline; gap: 12px; min-width: 0;
 }
+#dsh-remote-gate .gate-service .sv-label { flex: none; color: #6a6a6a; }
+#dsh-remote-gate .gate-service .sv-value {
+  flex: 1; min-width: 0; text-align: right; color: #e8e8e8;
+  word-break: break-all; overflow-wrap: anywhere; font-weight: 500;
+}
+/* 圆角输入框：深色底 + 细白边 + 圆角，与整体圆角风格一致 */
 #dsh-remote-gate .gate-input {
   width: 100%; box-sizing: border-box;
-  padding: 10px 12px; font-size: 14px; color: #e8e8ea;
-  background: #14171f; border: 1px solid rgba(255,255,255,.18);
-  border-radius: 9px; outline: none;
-}
-#dsh-remote-gate .gate-input:focus { border-color: #4c8dff; }
+  padding: 11px 13px; font-size: 14px; color: #fff;
+  background: rgba(255,255,255,.05);
+  border: 1px solid rgba(255,255,255,.18);
+  border-radius: 10px; outline: none;
+  transition: border-color .15s ease, background .15s ease;
+}
+#dsh-remote-gate .gate-input:focus { border-color: #fff; background: rgba(255,255,255,.08); }
+#dsh-remote-gate .gate-input::placeholder { color: #555; }
+/* 主按钮：白底黑字（强对比 CTA） */
 #dsh-remote-gate .gate-btn {
-  width: 100%; margin-top: 12px; padding: 10px 12px;
-  font-size: 14px; font-weight: 600; color: #fff;
-  background: #2a7de1; border: none; border-radius: 9px; cursor: pointer;
-}
-#dsh-remote-gate .gate-btn:hover { background: #3a8df0; }
-#dsh-remote-gate .gate-btn:disabled { opacity: .6; cursor: default; }
+  width: 100%; margin-top: 24px; padding: 12px;
+  font-size: 14px; font-weight: 600; color: #000;
+  background: #fff; border: none; border-radius: 10px; cursor: pointer;
+  display: flex; align-items: center; justify-content: center; gap: 6px;
+  transition: background .15s ease, opacity .15s ease;
+}
+#dsh-remote-gate .gate-btn:hover { background: #e8e8e8; }
+#dsh-remote-gate .gate-btn:disabled { opacity: .5; cursor: default; }
+/* 加载动画：提交后按钮内旋转 spinner + 文案切换 */
+#dsh-remote-gate .gate-spinner {
+  display: none; width: 15px; height: 15px; flex: none;
+  border: 2px solid rgba(0,0,0,.25); border-top-color: #000;
+  border-radius: 50%; box-sizing: border-box;
+  animation: dsh-gate-spin .7s linear infinite;
+}
+#dsh-remote-gate .gate-btn.gate-loading .gate-spinner { display: inline-block; }
+@keyframes dsh-gate-spin { to { transform: rotate(360deg); } }
 #dsh-remote-gate .gate-err {
-  font-size: 12px; color: #ff6b6b; margin-top: 10px; min-height: 16px;
+  font-size: 12px; color: #ff5f56; margin-top: 10px; min-height: 16px; line-height: 1.4;
+}
+#dsh-remote-gate .gate-foot {
+  margin-top: 20px; font-size: 11px; color: #555; text-align: center; letter-spacing: .2px;
 }
-#dsh-remote-gate .gate-loading { opacity: .6; }
 `
 
 const GATE_JS = `
@@ -1067,17 +1409,35 @@ const GATE_JS = `
   function canCover() {
     try { return document.getElementById('dsh-remote-gate') === null; } catch (e) { return true; }
   }
-  function createGate() {
+  /* DSH FishLogo（来自 @deepseek-ai/dsh-client-ui-primitives FishLogo，SVG path 直出） */
+  var GATE_FISH = '<svg class="gate-logo" viewBox="0 0 23.16 17.04" fill="currentColor" aria-hidden="true"><path d="M22.9168 1.43018C22.6713 1.31018 22.5658 1.53918 22.4223 1.65519C22.3733 1.69269 22.3318 1.74169 22.2903 1.78669C21.9317 2.1697 21.5127 2.42121 20.9657 2.39121C20.1657 2.34621 19.4827 2.59771 18.8787 3.20973C18.7502 2.45521 18.3236 2.0047 17.6746 1.71569C17.3351 1.56568 16.9916 1.41518 16.7536 1.08867C16.5876 0.856163 16.5421 0.597155 16.4591 0.341647C16.4061 0.187643 16.3536 0.0301382 16.1761 0.00363739C15.9836 -0.0263635 15.9081 0.135141 15.8326 0.270145C15.5306 0.822162 15.4136 1.43018 15.4251 2.0462C15.4516 3.43174 16.0366 4.53527 17.1991 5.3203C17.3311 5.4103 17.3651 5.5003 17.3236 5.63181C17.2441 5.90231 17.1501 6.16482 17.0671 6.43533C17.0141 6.60784 16.9351 6.64584 16.7501 6.57033C16.1121 6.30383 15.5611 5.90931 15.074 5.4328C14.2475 4.63328 13.5 3.75075 12.568 3.05973C12.349 2.89822 12.13 2.74822 11.9034 2.60522C10.9524 1.68169 12.028 0.923165 12.277 0.833162C12.5375 0.739159 12.3675 0.41615 11.5259 0.42015C10.6844 0.42365 9.91439 0.705658 8.93286 1.08117C8.78935 1.13767 8.63835 1.17867 8.48384 1.21267C7.59332 1.04367 6.66829 1.00617 5.70226 1.11517C3.88321 1.31768 2.43016 2.1777 1.36213 3.64575C0.0790928 5.4103 -0.222916 7.41536 0.146595 9.50642C0.535106 11.7105 1.66014 13.535 3.38869 14.9616C5.18125 16.4406 7.24581 17.1657 9.60138 17.0266C11.0319 16.9441 12.6245 16.7526 14.421 15.2321C14.874 15.4576 15.3496 15.5476 16.1381 15.6151C16.7456 15.6716 17.3306 15.5851 17.7836 15.4911C18.4931 15.3411 18.4441 14.6841 18.1876 14.5636C16.1081 13.595 16.5646 13.9891 16.1496 13.67C17.2061 12.42 18.8202 10.1979 19.3182 7.17235C19.3672 6.83834 19.4297 6.36783 19.4222 6.09732C19.4182 5.93231 19.4562 5.86831 19.6447 5.84931C20.1657 5.78931 20.6712 5.64681 21.1357 5.3913C22.4833 4.65528 23.0268 3.44624 23.1548 1.9972C23.1738 1.77569 23.1508 1.54668 22.9168 1.43018ZM11.1749 14.4736C9.15936 12.889 8.18184 12.3675 7.77832 12.39C7.40081 12.4125 7.46881 12.8445 7.55182 13.126C7.63882 13.404 7.75182 13.5955 7.91033 13.8396C8.01983 14.0011 8.09533 14.2411 7.80083 14.4216C7.15181 14.8231 6.02327 14.2866 5.97027 14.2601C4.65673 13.4865 3.5587 12.4655 2.78467 11.069C2.03715 9.72493 1.60314 8.28289 1.53164 6.74384C1.51264 6.37233 1.62214 6.24082 1.99215 6.17332C2.47916 6.08332 2.98118 6.06432 3.46769 6.13582C5.52476 6.43633 7.27581 7.35586 8.74385 8.8129C9.58188 9.64243 10.2159 10.634 10.8689 11.6025C11.5634 12.631 12.3105 13.611 13.262 14.4146C13.598 14.6961 13.866 14.9101 14.1225 15.0681C13.349 15.1546 12.058 15.1731 11.1749 14.4746L11.1749 14.4736ZM12.141 8.25988C12.141 8.09488 12.273 7.96338 12.439 7.96338C12.4765 7.96338 12.5105 7.97088 12.541 7.98188C12.5825 7.99688 12.6205 8.01938 12.6505 8.05338C12.7035 8.10588 12.7335 8.18088 12.7335 8.25988C12.7335 8.42489 12.6015 8.55639 12.4355 8.55639C12.2695 8.55639 12.141 8.42489 12.141 8.25988ZM15.1415 9.79893C14.949 9.87793 14.7565 9.94544 14.5715 9.95294C14.2845 9.96794 13.9715 9.85143 13.8015 9.70893C13.5375 9.48742 13.3485 9.36342 13.2695 8.97691C13.2355 8.8119 13.2545 8.55639 13.2845 8.40989C13.3525 8.09438 13.277 7.89187 13.0545 7.70787C12.8735 7.55786 12.643 7.51636 12.39 7.51636C12.2955 7.51636 12.209 7.47486 12.1445 7.44136C12.039 7.38886 11.9519 7.25735 12.035 7.09585C12.0615 7.04335 12.19 6.91584 12.22 6.89334C12.5635 6.69784 12.9595 6.76184 13.326 6.90834C13.6655 7.04735 13.9225 7.30236 14.292 7.66287C14.6695 8.09838 14.7375 8.21838 14.9525 8.54539C15.1225 8.8009 15.277 9.06341 15.3831 9.36392C15.4471 9.55142 15.3641 9.70493 15.1415 9.79893Z"/></svg>';
+  /* HTML 转义，防止服务信息中的特殊字符破坏结构 */
+  function esc(s) {
+    return String(s == null ? '' : s)
+      .replace(/&/g, '&amp;').replace(/</g, '&lt;').replace(/>/g, '&gt;')
+      .replace(/"/g, '&quot;').replace(/'/g, '&#39;');
+  }
+  function createGate(service) {
     if (!canCover()) return;
+    var svc = service || {};
+    var rows = '';
+    if (svc.host) rows += '<div class="sv-row"><span class="sv-label">访问地址</span><span class="sv-value">' + esc(svc.host) + '</span></div>';
+    if (svc.hostname) rows += '<div class="sv-row"><span class="sv-label">提供服务</span><span class="sv-value">' + esc(svc.hostname) + '</span></div>';
+    if (svc.version) rows += '<div class="sv-row"><span class="sv-label">版本</span><span class="sv-value">' + esc(svc.version) + '</span></div>';
     var g = document.createElement('div');
     g.id = 'dsh-remote-gate';
     g.innerHTML =
       '<div class="gate-card">' +
+        '<div class="gate-logo-wrap">' + GATE_FISH +
+        '<div class="gate-wordmark"><span class="w-name">deepseek</span><span class="w-sep">|</span><span class="w-prod">Harness</span></div>' +
+        '</div>' +
         '<p class="gate-title">远程访问已锁定</p>' +
         '<p class="gate-sub">请输入管理员设置的远程访问密码以继续使用。</p>' +
+        (rows ? '<div class="gate-service">' + rows + '</div>' : '') +
         '<input class="gate-input" type="password" autocomplete="current-password" placeholder="远程访问密码" />' +
-        '<button class="gate-btn" type="button">进入</button>' +
+        '<button class="gate-btn" type="button"><span class="gate-spinner"></span><span class="gate-btn-text">进入</span></button>' +
         '<p class="gate-err"></p>' +
+        '<p class="gate-foot">DeepSeek Harness · 移动端远程控制</p>' +
       '</div>';
     document.documentElement.appendChild(g);
     return g;
@@ -1086,7 +1446,10 @@ const GATE_JS = `
   function submit(g, input, btn) {
     var pwd = input.value;
     if (!pwd) { g.querySelector('.gate-err').textContent = '请输入密码'; return; }
+    var btnText = btn.querySelector('.gate-btn-text');
+    // 立即进入加载态：禁用按钮 + spinner 旋转 + 文案切换，让用户明确知道正在进入
     btn.disabled = true; btn.classList.add('gate-loading');
+    if (btnText) btnText.textContent = '正在进入…';
     fetch('/__dsh_remote/auth', {
       method: 'POST',
       headers: { 'Content-Type': 'application/json' },
@@ -1098,6 +1461,7 @@ const GATE_JS = `
       window.location.reload();
     }).catch(function (e) {
       btn.disabled = false; btn.classList.remove('gate-loading');
+      if (btnText) btnText.textContent = '进入';
       g.querySelector('.gate-err').textContent = String(e && e.message || e);
       input.select();
     });
@@ -1108,7 +1472,7 @@ const GATE_JS = `
       .then(function (r) { return r.json(); })
       .then(function (st) {
         if (!st || !st.required || st.authenticated) return;
-        var g = createGate();
+        var g = createGate(st.service);
         if (!g) return;
         var input = g.querySelector('.gate-input');
         var btn = g.querySelector('.gate-btn');