dsh-mesh-access 0.0.0-stage → 1.0.1

package/CHANGELOG.md

@@ -0,0 +1,65 @@
+# 更新日志
+
+## 1.0.1 — 修「一直重新连接中」
+
+`Origin` 没有跟着 `Host` 一起改写，DSH 的 WebSocket 升级被自己的同源校验挡成 **403**，
+于是 HTTP 一切正常（页面能开、API 能通），但实时通道连不上，界面底部一直显示「重新连接中…」。这一版修掉它，并顺手把长连接的 TCP keepalive 打开。
+
+- `rewrite()` 在改写 `Host` 的同时改写 `Origin`（`http://<upstream>`）；
+- upgrade 路径两个 socket 都 `setNoDelay(true)` + `setKeepAlive(true, 30000)`，让中继上的空闲长连接不容易被悄悄丢掉。
+
+## 1.0.0 — 改名（原名 dsh-phone-tunnel）
+
+插件和「手机」没关系：它做的是把组网地址上的请求转给本进程。所以改了名，顺便把定位放宽。
+
+- **包名 / 仓库名**：`dsh-phone-tunnel` → `dsh-mesh-access`（npm 上的旧名已 `deprecate`，仍可按旧名装到最后那版 0.1.5）；
+- 面板文案、「不只手机」章节、npm 描述、市场条目描述都改成「组网里的任何设备」；
+- API 路径 `/api/dsh-phone-tunnel/*` → `/api/dsh-mesh-access/*`；
+- 挂载 id `mesh` → `mesh-access`；
+- 命名空间变了，所以版本从 1.0.0 重新起（不是 0.1.6）。
+
+从 0.1.5 升级：先 `dsh plugin --profile web remove dsh-phone-tunnel`，再 `add dsh-mesh-access@1.0.0`，然后重启 `dsh web`。
+
+## 0.1.5
+
+- **把定位从「手机」放宽到「组网里的任何设备」**：手机、平板、另一台电脑、带图形界面的 NAS（DSM / QTS / TrueNAS Scale）、电视盒子，只要能连到组网 IP 就能打开，对方设备**不需要装任何东西**；
+- 面板文案跟着改：「手机地址」→「访问地址」，说明里写清「组网里的任何设备」；
+- npm 描述与市场条目描述同步放宽，关键词补 `nas` / `remote-desktop`。
+
+## 0.1.4
+
+- 面板的请求改成**可中止**（`AbortController`）：动作请求 20 秒、状态轮询 6 秒，超时就 abort，不会再把界面吊死；
+- 加了**看门狗**：按钮「处理中…」超过 22 秒会自动解除并提示，配合「刷新」按钮自愈；
+- 说明一下：这两个数字是给「进程正忙」留的余量 —— DSH 正在推流生成回答时，同一个 Node 进程处理面板请求会明显变慢，看起来像卡住。
+
+## 0.1.3
+
+- **修「点第二次就卡死」**：`start()` 原来会 `await server.close()`，而 `close()` 要等所有连接结束 —— DSH 的实时通道是长连接，于是永远等不到。现在同端口重复点击直接返回现状，并发的点击单飞；
+- 关闭改成「先拒绝新连接 → `closeAllConnections()` → 强制销毁自管 socket → 最多等 500ms」，不再阻塞；
+- 面板：反代运行时「③ 回到上面开端口」变「③ 端口已开」并禁用；动作请求加 20 秒超时兜底，不会再永远「处理中…」。
+
+## 0.1.2
+
+- 面板直接给出**带 token 的完整地址**（借用 `connection` 服务的 `authenticatedUrl()`），复制到手机点开即可，不必再去终端里找 token。
+- 「第一次用星空组网？」改成引导式三步按钮：注册 / 下载客户端 / 回到上面开端口。邀请链接只放在按钮的 `href` 里，不再把 URL 明文印在页面上。
+- `inject` 增加 `connection`；`proxy.urlPlain` 保留不带 token 的裸地址。
+
+## 0.1.1 — 2026-11-07
+
+文档语言调整，功能与 0.1.0 完全一致。
+
+- `README.md`、`INSTALL.md`、`CHANGELOG.md`、`docs/architecture.md` 改为**中文**（这个包主要面向中文用户）；
+  英文原文保留在 `README.en.md`、`INSTALL.en.md`，两个 README 开头互相跳转。
+- 修掉导航行被反引号包住、在 GitHub 上渲染成代码而点不动的问题。
+- 包的 `files` 白名单显式列出四个文档文件；构建产物 `*.tgz` 不再进仓库。
+
+## 0.1.0 — 2026-11-07
+
+第一个版本。已发布到 npm：`dsh-mesh-access@0.1.0`。
+
+- **宿主半边**：组网网卡探测（`192.168.*` 上的 `StarVPN`、`utun*`、`tap*`、`tun*`、`wg*`、`gpd*`、
+  `ppp*`、`ipsec*`）、进程内反代并改写 `Host`、WebSocket / upgrade 转发、
+  `GET /api/dsh-mesh-access/status`、`POST /api/dsh-mesh-access/proxy`。
+- **客户端半边**：`sidebar.panellist` + `main` 两个槽位的面板（状态、开/关端口、手机地址与复制、
+  首次使用星空组网的提示），每 5 秒轮询一次。
+- **没有构建步骤**：两边都是普通的 ESM / 浏览器 JS，所以发布出去的包就是源码本身。

package/INSTALL.en.md

@@ -0,0 +1,96 @@
+# Install
+
+[English](INSTALL.en.md) | [中文](INSTALL.md)
+
+## Requirement
+
+- DSH `>= 0.2.1-rc.2` (`dsh --version`)
+- Node `>= 22` (whatever DSH already runs on)
+- An initialized `web` profile (`~/.dsh/profiles/web` exists — DSH creates it on first `dsh web`)
+
+## From npm (one line)
+
+```bash
+dsh plugin --profile web add dsh-mesh-access
+```
+
+Current: `dsh-mesh-access@0.1.3` (published 2026-11-07).
+
+> If your machine points npm at a China mirror (`registry.npmmirror.com`), the mirror can lag
+> behind or serve a partially synced record, and pnpm then fails with
+> `numeric field was not a number: when getting size for package`. Add the registry explicitly:
+>
+> ```bash
+> dsh plugin --profile web add dsh-mesh-access@0.1.3 --registry=https://registry.npmjs.org
+> ```
+
+## From the release tarball (no npm account, any registry)
+
+```bash
+dsh plugin --profile web add \
+  https://github.com/SilverKurali/dsh-mesh-access/releases/latest/download/dsh-mesh-access.tgz
+```
+
+## From a local checkout
+
+```bash
+git clone https://github.com/SilverKurali/dsh-mesh-access
+dsh plugin --profile web add link:"$PWD/dsh-mesh-access"
+```
+
+`link:` installs the directory itself; pnpm prints a peer-resolution warning that is expected for
+link installs and harmless here (the plugin has no peer for `@deepseek-ai/dsh` beyond the host).
+
+## From a git URL
+
+```bash
+dsh plugin --profile web add git+https://github.com/SilverKurali/dsh-mesh-access.git
+```
+
+## Verify
+
+```bash
+# 1. the profile now lists the plugin
+grep -n 'dsh-mesh-access' ~/.dsh/profiles/web/package.json
+
+# 2. restart the profile, then ask the host directly
+curl -s http://127.0.0.1:3080/api/dsh-mesh-access/status | head -20
+```
+
+A healthy answer looks like:
+
+```json
+{
+  "ok": true,
+  "host": { "upstream": "127.0.0.1", "port": 3080 },
+  "mesh": [{ "iface": "StarVPN", "address": "192.168.188.1", "netmask": "255.255.255.0" }],
+  "proxy": { "running": false, "port": 3081, "url": null }
+}
+```
+
+Then open the **组网访问** panel and press *在组网地址上开端口*, or:
+
+```bash
+curl -s -X POST -H 'content-type: application/json' \
+     -d '{"action":"start","port":3081}' \
+     http://127.0.0.1:3080/api/dsh-mesh-access/proxy
+```
+
+## Uninstall
+
+```bash
+dsh plugin --profile web remove dsh-mesh-access
+```
+
+Nothing is written outside the profile directory and `~/.dsh`; there is no service, no autostart,
+no firewall rule. Stopping the proxy (or restarting the profile) closes the mesh port.
+
+## Troubleshooting
+
+| Symptom | Cause and fix |
+|---|---|
+| `没找到组网网卡` | The mesh client is not connected, or the interface is named differently. Run `ip -br addr` / `ifconfig` and set `interfacePattern` to match, and check `addressPrefix`. |
+| Panel shows the proxy running but the phone times out | Something between the phone and this host drops it — on Linux check `firewall-cmd --zone=<mesh zone> --list-ports`, on Windows the inbound rule for the port. |
+| Phone gets the page but every API call fails | The page was opened on a stale token/cookie; open a fresh `?token=` URL once. |
+| `listen EADDRINUSE` | Another process owns the port (a previous `dsh web` or the kit's script). Stop it, or start this proxy on a different port. |
+| Port opens, phone sees `401` | Expected: no cookie yet. `?token=` once. |

package/INSTALL.md

@@ -0,0 +1,97 @@
+# 安装
+
+[中文](INSTALL.md) | [English](INSTALL.en.md)
+
+## 前置条件
+
+- DSH `>= 0.2.1-rc.2`（`dsh --version`）
+- Node `>= 22`（DSH 本身就在用的那个即可）
+- 已经初始化过 `web` profile（`~/.dsh/profiles/web` 存在 —— 第一次 `dsh web` 时 DSH 会创建）
+
+## 一、从 npm 装（一条命令）
+
+```bash
+dsh plugin --profile web add dsh-mesh-access
+```
+
+最新版：`dsh-mesh-access@0.1.3`（2026-11-07 发布）。
+
+> **国内镜像的坑**：如果你的 npm 指向 `registry.npmmirror.com`，镜像可能只同步了一半元数据，
+> pnpm 会报
+> `numeric field was not a number: when getting size for package`。
+> 这时显式给官方源：
+>
+> ```bash
+> dsh plugin --profile web add dsh-mesh-access@0.1.3 --registry=https://registry.npmjs.org
+> ```
+
+## 二、从 Release 的 tgz 装（不需要 npm 账号，任何镜像都行）
+
+```bash
+dsh plugin --profile web add \
+  https://github.com/SilverKurali/dsh-mesh-access/releases/latest/download/dsh-mesh-access.tgz
+```
+
+## 三、从本地检出装（改代码时用）
+
+```bash
+git clone https://github.com/SilverKurali/dsh-mesh-access
+dsh plugin --profile web add link:"$PWD/dsh-mesh-access"
+```
+
+`link:` 装的是目录本身。pnpm 会打印一条 peer 依赖解析的警告，`link:` 装法必然出现，
+这里无害（本插件对 `@deepseek-ai/dsh` 没有运行时依赖，只是声明了 peer）。
+
+## 四、从 git 地址装
+
+```bash
+dsh plugin --profile web add git+https://github.com/SilverKurali/dsh-mesh-access.git
+```
+
+## 验证
+
+```bash
+# 1. profile 里已经有这个插件
+grep -n 'dsh-mesh-access' ~/.dsh/profiles/web/package.json
+
+# 2. 重启 profile，然后直接问宿主
+curl -s http://127.0.0.1:3080/api/dsh-mesh-access/status | head -20
+```
+
+正常的样子：
+
+```json
+{
+  "ok": true,
+  "host": { "upstream": "127.0.0.1", "port": 3080 },
+  "mesh": [{ "iface": "StarVPN", "address": "192.168.188.1", "netmask": "255.255.255.0" }],
+  "proxy": { "running": false, "port": 3081, "url": null }
+}
+```
+
+然后打开**「组网访问」**面板点「在组网地址上开端口」，或者：
+
+```bash
+curl -s -X POST -H 'content-type: application/json' \
+     -d '{"action":"start","port":3081}' \
+     http://127.0.0.1:3080/api/dsh-mesh-access/proxy
+```
+
+## 卸载
+
+```bash
+dsh plugin --profile web remove dsh-mesh-access
+```
+
+除了 profile 目录和 `~/.dsh` 之外什么都没写：没有系统服务、没有开机自启、没有防火墙规则。
+关掉反代（或重启 profile）组网端口就关了。
+
+## 故障排查
+
+| 现象 | 原因与处理 |
+|---|---|
+| 面板显示「没找到组网网卡」 | 组网客户端没连上，或者网卡名字不在默认正则里。用 `ip -br addr` 或 `ifconfig` 看真实名字，改配置里的 `interfacePattern`，并检查 `addressPrefix`。 |
+| 面板说反代在跑，但手机超时 | 手机到这台机器之间被拦了。Linux 上查 `firewall-cmd --zone=<组网域> --list-ports`，Windows 上查该端口的入站规则。 |
+| 手机能打开页面，但每个接口都失败 | 页面用的是过期 token/cookie。重新点一次带 `?token=` 的地址。 |
+| `listen EADDRINUSE` | 端口被别的进程占了（上一次的 `dsh web`，或者 kit 脚本起的实例）。先停掉它，或换个端口起反代。 |
+| 端口开了，手机看到 `401` | 正常：还没有 cookie。用带 `?token=` 的地址访问一次。 |

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 SilverKurali
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/README.en.md

@@ -0,0 +1,115 @@
+# dsh-mesh-access
+
+Expose the **running** DeepSeek Harness web UI on a mesh/VPN interface — from inside the server,
+without a second instance, without SSH, without touching the router.
+
+[English](#what-it-does) | [中文](README.md)
+
+![The “组网访问” (mesh access) panel in the sidebar](assets/screenshot-1.png)
+
+## What it does
+
+`dsh web --host` binds exactly one concrete interface address, and it rejects wildcards. So a
+server that serves `127.0.0.1:3080` is invisible to your mesh, and a TAP (`StarVPN`) or `utun`
+interface created *after* boot is not where it listens.
+
+This plugin adds a mesh port **inside the running process**:
+
+```
+any device ──▶ 192.168.188.1:3081 ──▶ (plugin proxy) ──▶ 127.0.0.1:3080  (the same dsh you are using)
+```
+
+One instance. One session list. No `task-board ledger is already owned by …` warning, no
+half-synced state between two servers.
+
+## Install
+
+```bash
+dsh plugin --profile web add dsh-mesh-access
+```
+
+No npm / behind a China mirror? Use the release tarball:
+
+```bash
+dsh plugin --profile web add \
+  https://github.com/SilverKurali/dsh-mesh-access/releases/latest/download/dsh-mesh-access.tgz
+```
+
+From a checkout: `dsh plugin --profile web add link:/absolute/path/to/dsh-mesh-access`.
+Full matrix (npm / tarball / checkout / git URL), verification and troubleshooting: [INSTALL.en.md](INSTALL.en.md).
+
+Restart the profile. A **组网访问 / Mesh access** entry appears in the left rail:
+
+| Block | What it shows |
+|---|---|
+| 当前状态 | proxy state, DSH's own listen port, how many mesh interfaces were found |
+| 动作 | open the mesh port / close it / refresh |
+| 手机地址 | the URL to open on the phone, with a copy button |
+| 第一次用星空组网？ | the referral sign-up link and the member-account rule |
+
+## HTTP surface
+
+The panel is a view over two routes kept deliberately small:
+
+```
+GET  /api/dsh-mesh-access/status     → { host:{upstream,port}, interfaces[], mesh[], proxy{...}, referral }
+POST /api/dsh-mesh-access/proxy      → {action:'start'|'stop', port?}
+```
+
+`curl -s localhost:3090/api/dsh-mesh-access/status` is enough to debug without a browser.
+
+## Configuration
+
+Optional, written in the profile's patch layer; every key has a default:
+
+```yaml
+- id: mesh
+  name: dsh-mesh-access
+  config:
+    interfacePattern: '^(StarVPN|utun\d+|tap\d+|tun\d+|wg\d+|gpd\d+|ppp\d+|ipsec\d+)$'
+    addressPrefix: '192.168.'
+    proxyPort: 3081
+    upstream: 127.0.0.1
+```
+
+`addressPrefix` exists so a public address on a `tun*` interface is never mistaken for a mesh
+address.
+
+## Why the cookie survives
+
+A request with `?token=` answers `303` and sets `dsh-auth-*` (`HttpOnly`, `SameSite=Strict`,
+`Max-Age=2592000`). The cookie payload embeds the **authority it was issued for**, signed with a
+secret kept in a persistent credential record — not a per-process random — so it outlives a
+restart. The proxy rewrites `Host` to the upstream authority on every request, which keeps the
+baked-in authority equal to what the server expects, which is why the same cookie keeps working
+through the mesh port.
+
+Corollary: change the mesh IP or the port and you must open a fresh token URL once.
+
+## Limitations
+
+- It cannot move *its own* server's listener; a plugin runs inside a process that is already
+  listening. The mesh port is a proxy, not a second bind of the primary server.
+- Only IPv4 mesh addresses are considered.
+- Still requires the phone to reach the mesh address — the tunnel's own quality applies. On
+  StarVPN's relay path expect ~0.4 MB/s and occasional multi-second RTT spikes, which can stall a
+  long streaming answer; reload resumes it.
+
+## Not just phones
+
+The name says phone, the mechanism says otherwise: the plugin forwards requests that arrive on a
+mesh address to the port this process already serves. Anything that can open a web page on the
+mesh works — a phone or tablet, another Windows/macOS/Linux laptop, a NAS with a GUI
+(Synology DSM, QNAP QTS, TrueNAS Scale), even a TV stick's browser.
+
+Requirements are only: same mesh, a route to the mesh IP, and a browser. **Nothing** has to be
+installed on the other device, and no SSH is involved.
+
+## Companion
+
+The shell-script edition (Linux/macOS/Windows launchers that start a *second* dsh instance bound
+to the mesh IP, with firewall rules and QR codes) is
+[dsh-mesh-kit](https://github.com/SilverKurali/dsh-mesh-kit). Use this plugin when you want one
+instance; use that kit when DSH is not running yet, or on a machine without a Node plugin install.
+
+MIT.

package/README.md

@@ -1,3 +1,132 @@
-# Temporary Holding Version
+# dsh-mesh-access
 
-This version is a temporary placeholder for this package. An operational version to replace this has been submitted for review and is awaiting a staged release.
+把**正在运行**的 DeepSeek Harness 网页界面挂到组网网卡上 —— 在服务进程内部完成，
+不需要第二个实例，不需要 SSH，也不用碰路由器。
+
+[中文](#它做什么) | [English](README.en.md)
+
+![侧边栏里的「组网访问」面板](assets/screenshot-1.png)
+
+## 它做什么
+
+`dsh web --host` 只接受**一个具体的网卡地址**，并且拒绝通配。所以只监听 `127.0.0.1:3080` 的实例，
+组网里的手机、笔记本、另一台电脑、带图形界面的 NAS 都看不见；而开机之后才出现的 TAP（星空组网的 `StarVPN`）或 `utun` 网卡，也不在它启动时的那一份地址表里。
+
+这个插件在**已经在跑的那个进程内部**多开一个组网端口：
+
+```
+任何设备 ──▶ 192.168.188.1:3081 ──▶（插件反代）──▶ 127.0.0.1:3080（你正在用的这个 dsh）
+```
+
+一个实例、一份会话列表：不会出现 `task-board ledger is already owned by …`，也不会出现两台服务状态不同步。
+
+## 安装
+
+```bash
+dsh plugin --profile web add dsh-mesh-access
+```
+
+不方便用 npm，或者你的 npm 指向国内镜像？用 Release 里的 tgz：
+
+```bash
+dsh plugin --profile web add \
+  https://github.com/SilverKurali/dsh-mesh-access/releases/latest/download/dsh-mesh-access.tgz
+```
+
+从本地目录装（改代码的人用这个）：
+
+```bash
+dsh plugin --profile web add link:/绝对路径/dsh-mesh-access
+```
+
+完整的四种装法、验证步骤、卸载与故障表见 [INSTALL.md](INSTALL.md)。
+
+装完重启 profile，左侧导航会多出**「组网访问」**：
+
+| 功能块 | 内容 |
+|---|---|
+| 当前状态 | 反代是否在跑、DSH 自己的监听端口、找到几张组网网卡 |
+| 动作 | 在组网地址上开端口 / 关闭 / 刷新 |
+| 访问地址 | 给组网内任何设备打开的地址（带 token，可直接复制） |
+| 第一次用星空组网？ | 邀请注册链接 + 成员账号规则 |
+
+## HTTP 接口
+
+面板只是两个接口的外壳，故意做得极小：
+
+```
+GET  /api/dsh-mesh-access/status   → { ok, host:{upstream,port}, interfaces[], mesh[], proxy{...}, referral }
+POST /api/dsh-mesh-access/proxy    → { action:'start' | 'stop', port? }
+```
+
+不开浏览器也能排查：
+
+```bash
+curl -s http://127.0.0.1:3080/api/dsh-mesh-access/status
+```
+
+## 配置（可选）
+
+写在 profile 的 patch 层里，每一项都有默认值：
+
+```yaml
+- id: mesh
+  name: dsh-mesh-access
+  config:
+    interfacePattern: '^(StarVPN|utun\d+|tap\d+|tun\d+|wg\d+|gpd\d+|ppp\d+|ipsec\d+)$'
+    addressPrefix: '192.168.'
+    proxyPort: 3081
+    upstream: 127.0.0.1
+```
+
+`addressPrefix` 的作用是别把 `tun*` 上的公网地址当成组网地址。
+
+## 为什么 cookie 能一直用
+
+带 `?token=` 的请求返回 `303` 并种下 `dsh-auth-*`（`HttpOnly`、`SameSite=Strict`、`Max-Age=2592000`，
+即 30 天）。cookie 载荷里写死了**签发时的 authority**：
+
+```json
+{"version":1,"authority":"192.168.188.1:3081","issuedAt":…,"expiresAt":…}
+```
+
+签名密钥存在**持久的凭据记录**里（不是每进程随机），所以重启也在。反代每次请求都把 `Host`
+改写成上游 authority，于是 cookie 里的 authority 与服务端期望的一致 —— 这就是换个端口访问还能继续用
+同一份 cookie 的原因。
+
+反过来也成立：**换了组网 IP 或端口，就得重新点一次 token 链接。**
+
+## 限制
+
+- 插件动不了**自己进程**的监听地址。组网端口是反代，不是把主服务再绑一次。
+- 只考虑 IPv4 组网地址。
+- 仍然依赖隧道本身的质量。星空组网走中继时实测单向约 0.4 MB/s，`[SN-RTT]` 会抖到几秒，
+  长回答可能中途停住，刷新一下能接回来。
+- 同一份 `~/.dsh` 只允许一个实例持有 task-board 锁；这是刻意的，本插件就是为避开它而存在。
+
+## 不只手机
+
+名字叫 phone，但插件本身跟“手机”没有关系 —— 它做的是**把组网地址上的请求转给本进程**。
+组网里任何能打开网页的设备都能用：
+
+| 设备 | 用法 |
+|---|---|
+| 手机 / 平板 | 浏览器打开那条带 token 的地址，可加到桌面当 App |
+| 另一台电脑（Win / macOS / Linux） | 同一个地址，直接开；不用装 DSH，也不用装这个插件 |
+| 带图形界面的 NAS（群晖 DSM、威联通 QTS、TrueNAS Scale 等） | NAS 上的浏览器打开即可 |
+| 电视盒子 / 平板上的浏览器 | 同理，只要能连到 `192.168.188.1` |
+
+条件是三条：它在**同一个星空组网**里、能路由到组网 IP、浏览器能发 HTTP。
+**不需要**在对方设备上装任何东西，也不需要 SSH。
+
+## 配套
+
+命令行版（在 DSH 还没启动、或者机器上没有 Node 插件环境时使用：
+起**第二个**实例绑到组网 IP，附带防火墙规则与二维码）：
+[dsh-mesh-kit](https://github.com/SilverKurali/dsh-mesh-kit)，支持 Linux / macOS / Windows。
+
+设计取舍与实测数据见 [docs/architecture.md](docs/architecture.md)。
+
+## 许可
+
+MIT。

package/cordis.patch.yml

@@ -0,0 +1,8 @@
+# dsh-mesh-access — bundle patch
+#
+# Mounts the mesh-access plugin into the web profile. Install with:
+#   dsh plugin --profile web add dsh-mesh-access
+#   dsh plugin --profile web add link:/absolute/path/to/dsh-mesh-access   # local dev
+- insert:
+    - id: mesh-access
+      name: dsh-mesh-access

package/docs/RELEASE.md

@@ -0,0 +1,63 @@
+# 发布清单
+
+每改一次代码，下面四块**必须一起动**，否则就会出现「npm 上是新版、Release 还是旧版、文档写着上上个版本」这种漂移。
+
+## 1. 版本号
+
+- `package.json` 的 `version`
+- `CHANGELOG.md` 顶部加一节
+- `INSTALL.md` / `INSTALL.en.md` 里出现的 `dsh-mesh-access@x.y.z` 命令
+- `README.md` / `README.en.md` 里若有版本号（能不带就不带，用 `dsh-mesh-access` 拉 latest）
+
+## 2. npm
+
+```bash
+npm publish --registry=https://registry.npmjs.org
+```
+
+⚠️ `+ dsh-mesh-access@x.y.z` 只代表**元数据**提交成功，tarball 可能还要几分钟才可下载。必须探到 200 才算发完：
+
+```bash
+curl -sI https://registry.npmjs.org/dsh-mesh-access/-/dsh-mesh-access-<版本>.tgz | head -1   # 期望 200
+```
+
+再看一眼 dist-tags 与 shasum 对不对：
+
+```bash
+curl -s https://registry.npmjs.org/dsh-mesh-access | python3 -c "import json,sys;d=json.load(sys.stdin);v=d['versions'][d['dist-tags']['latest']];print(d['dist-tags']['latest'], v['dist']['shasum'])"
+```
+
+2026-11-07 那次实测：404 持续了约 6 分钟才变 200。这期间 `npm install` 会报 `npm error 404`，看着像发布失败。
+
+## 3. GitHub Release
+
+```bash
+npm pack --registry=https://registry.npmjs.org
+mv dsh-mesh-access-<版本>.tgz dsh-mesh-access.tgz        # 附件名不带版本号
+git -c tag.gpgSign=false tag -a v<版本> -m "<摘要>"
+git -c http.version=HTTP/1.1 push origin refs/tags/v<版本>
+gh release create v<版本> dsh-mesh-access.tgz --title "v<版本> — <摘要>" --notes-file /tmp/rel-notes.md
+```
+
+附件名**必须不带版本号**，因为文档里用的是稳定地址
+`https://github.com/SilverKurali/dsh-mesh-access/releases/latest/download/dsh-mesh-access.tgz`。
+发完验一次：
+
+```bash
+curl -sIL .../releases/latest/download/dsh-mesh-access.tgz | grep -i '^HTTP'
+tar -xzOf dsh-mesh-access.tgz package/package.json | grep version
+```
+
+## 4. 装一次（别信代码，信安装）
+
+```bash
+rm -rf ~/.dsh/profiles/reltest && cp -a ~/.dsh/profiles/headless ~/.dsh/profiles/reltest
+dsh plugin --profile reltest add dsh-mesh-access@<版本> --registry=https://registry.npmjs.org
+# 起临时实例 → GET /api/dsh-mesh-access/status → POST proxy start → curl 期望 401
+rm -rf ~/.dsh/profiles/reltest
+```
+
+## 5. 市场条目
+
+`store/dsh-mesh-access.yml` 只在**分类、描述、图标、tarball 地址**变化时才需要改；`npm:` 键由 registry 自动采集，**不要手写**。
+提交给 `awesome-dsh-plugin` 的 PR 由仓库所有者本人开，AI 只备料。