dsh-pocket 2.3.0 → 2.5.0

package/README.en.md

@@ -133,6 +133,8 @@ Note: in named-tunnel mode the public PIN is **not auto-rotated** (the address i
 | Nothing changed after install/update | **You must restart `dsh web`**; the running process still loads the old code |
 | `listen EADDRINUSE ... :3081` | A stale dsh-pocket process holds the port: macOS/Linux `lsof -ti :3081 \| xargs kill -9`; Windows `netstat -ano \| findstr :3081` (find the LISTENING PID) → `taskkill /PID <PID> /F`, then retry |
 | Want a different port (issue #70) | Plugin mode: write `"proxyPort": 3082` into `$DSH_HOME/dsh-pocket/settings.json` and restart `dsh web`. CLI mode: `dsh-pocket --port 3082`. If the port is taken you'll get `EADDRINUSE` — kill the old process or pick another one |
+| Issue a temporary PIN to a guest (issue #69) | Settings → "Temporary access PINs" → pick public/LAN + duration (1h/24h/7d) + note → Create. Share the 8-char PIN + the access URL with the guest; it auto-expires and can be revoked manually. Temp PINs share the main PIN rate limit |
+| cloudflared install fails on a remote Linux server (issue #45) | If all CDN sources (GitHub / ghproxy / gh.ddlc / gh-proxy) are unreachable on a remote Linux host, install `cloudflared` yourself (e.g. `apt install cloudflared`, `dnf install cloudflared`, or download the tgz and unpack it), then add `"cloudflaredPath": "/path/to/cloudflared"` into `$DSH_HOME/dsh-pocket/settings.json` and restart `dsh web`. The plugin will then use that binary directly and skip the auto-download |
 | Version stuck below 1.x | `^0.x` ranges never jump to 1.x: update with `--latest` (`dsh plugin --profile web update dsh-pocket --latest -w`) |
 | Public `error 1033` | See "Public tunnel troubleshooting" below — usually a local proxy/VPN (Clash etc. TUN mode) killing the tunnel |
 | After "Restart dsh web", the page says the process is running in the background | The new process from in-page self-restart is a detached background process (not attached to your terminal) — that's the standard way to apply updates in-page; stop it: macOS/Linux `lsof -ti :3080 \| xargs kill -9`; Windows `netstat -ano \| findstr :3080` → `taskkill /PID <PID> /F` (logs under `$DSH_HOME` as `dsh-pocket-restart-*.log`) |
@@ -192,7 +194,7 @@ Such tools take over all traffic and often cut cloudflared's tunnel-edge connect
 ```sh
 npm install
 node client/build.mjs   # rebuild after editing client/
-npm test                # proxy / auth / compression / tunnel / service / RPC / settings (93 tests)
+npm test                # proxy / auth / compression / tunnel / service / RPC / settings (105 tests)
 ```
 
 **Want to try your changes locally without publishing?** Point the installed plugin at your local checkout with a symlink and restart dsh web. Full steps (including switching back to the npm release) are in [LOCAL-DEV.md](./LOCAL-DEV.md).

package/README.md

@@ -133,6 +133,8 @@ npx @deepseek-ai/dsh web
 | 装完/更新了但界面没变化 | **必须重启 `dsh web`** 才生效；运行中的进程仍加载旧代码 |
 | `listen EADDRINUSE ... :3081` | 旧 dsh-pocket 进程还占着端口：macOS/Linux `lsof -ti :3081 \| xargs kill -9`；Windows `netstat -ano \| findstr :3081`（找 LISTENING 的 PID）→ `taskkill /PID <PID> /F`，后重试 |
 | 想换端口（issue #70） | 插件模式：在 `$DSH_HOME/dsh-pocket/settings.json` 写 `"proxyPort": 3082` 后重启 `dsh web`。CLI 模式：`dsh-pocket --port 3082`。端口被占会报 `EADDRINUSE`，杀掉旧进程或换一个端口 |
+| 给访客一个临时 PIN（issue #69） | 设置页「临时访问 PIN」区块 → 选公网/局域网 + 时长（1h/24h/7d） + 备注 → 生成。把 8 位 PIN + 入口 URL 一起发给对方；过期自动作废，也能手动撤销。临时 PIN 与主 PIN 共用速率限制 |
+| Linux 服务器装不上 cloudflared（issue #45） | 远程 Linux 国内/企业网下所有 CDN 源（GitHub/ghproxy/gh.ddlc/gh-proxy）都连不上时：在服务器上手动装 `cloudflared`（如 `apt install cloudflared`、`dnf install cloudflared`、或下载 tgz 解压到任意目录），然后在 `$DSH_HOME/dsh-pocket/settings.json` 加 `"cloudflaredPath": "/path/to/cloudflared"`，重启 `dsh web` 后插件直接调用它，**不再走自动下载** |
 | 版本停在 0.x 升不上去 | `^0.x` 范围不允许升到 1.x：更新用 `--latest`（`dsh plugin --profile web update dsh-pocket --latest -w`） |
 | 公网 `error 1033` | 见下方「公网隧道常见问题」——多半是本机代理/VPN（Clash 等 TUN 模式）掐断了隧道 |
 | 点「重启 dsh web」后页面提示进程在后台运行 | 自重启的新进程是 detached 后台进程（不挂终端），是页内更新的标准做法；停止它：macOS/Linux `lsof -ti :3080 \| xargs kill -9`；Windows `netstat -ano \| findstr :3080` → `taskkill /PID <PID> /F`（日志在 `$DSH_HOME` 下 `dsh-pocket-restart-*.log`） |
@@ -193,7 +195,7 @@ npx @deepseek-ai/dsh web
 ```sh
 npm install
 node client/build.mjs   # 改 client/ 后重新打包
-npm test                # 代理 / 认证 / 压缩 / 隧道 / 服务 / RPC / 设置（93 测试）
+npm test                # 代理 / 认证 / 压缩 / 隧道 / 服务 / RPC / 设置（105 测试）
 ```
 
 **改完想在本机先试？** 不用发版：把插件换成指向本地仓库的软链，重启 dsh web 就是本地代码。完整步骤（含怎么换回 npm 官方版本）见 [LOCAL-DEV.md](./LOCAL-DEV.md)。

package/client/api.js

@@ -15,6 +15,9 @@ export const POCKET_ENDPOINTS = Object.freeze({
   lanSetEnabled: 'lan.setEnabled',
   pinSetCustom: 'pin.setCustom',
   pocketReset: 'pocket.reset',
+  tempPinCreate: 'tempPin.create',
+  tempPinList: 'tempPin.list',
+  tempPinRevoke: 'tempPin.revoke',
 });
 
 /** 语义化版本比较：a > b 返回正数，相等 0，a < b 负数（数字段 + 预发布后缀）。 */

package/client/client.js

@@ -54,7 +54,10 @@ var POCKET_ENDPOINTS = Object.freeze({
   lanSetOverride: "lan.setOverride",
   lanSetEnabled: "lan.setEnabled",
   pinSetCustom: "pin.setCustom",
-  pocketReset: "pocket.reset"
+  pocketReset: "pocket.reset",
+  tempPinCreate: "tempPin.create",
+  tempPinList: "tempPin.list",
+  tempPinRevoke: "tempPin.revoke"
 });
 function compareVersions(a, b) {
   const pa = String(a).replace(/^[vV]/, "").split(".");
@@ -1552,7 +1555,26 @@ var zh2 = {
   "slowHint": " \u2014 \u6709\u70B9\u4E45\uFF1F\u68C0\u67E5\u662F\u5426\u5F00\u7740\u4EE3\u7406/VPN\uFF08Clash TUN \u7B49\uFF09",
   "error": "\u274C \u5F00\u542F\u5931\u8D25\uFF1A{detail}\uFF08\u53EF\u91CD\u8BD5\uFF1B\u82E5\u662F\u4EE3\u7406/VPN \u95EE\u9898\u89C1 README \u6392\u969C\uFF09",
   "unknownError": "\u672A\u77E5\u9519\u8BEF",
-  "feedback": "\u6709\u95EE\u9898\uFF1F\u6B22\u8FCE\u5230 GitHub Issues \u53CD\u9988 \u{1F64F}"
+  "feedback": "\u6709\u95EE\u9898\uFF1F\u6B22\u8FCE\u5230 GitHub Issues \u53CD\u9988 \u{1F64F}",
+  // 临时 PIN（issue #69）
+  "tempPinTitle": "\u4E34\u65F6\u8BBF\u95EE PIN\uFF08\u5E26\u8D85\u65F6\uFF09",
+  "tempPinSubtitle": "\u7ED9\u8BBF\u5BA2\u5F00\u4E00\u4E2A\u6709\u5BFF\u547D\u7684 8 \u4F4D PIN\uFF0C\u8FC7\u671F\u81EA\u52A8\u4F5C\u5E9F\uFF1B\u4E0E\u4E3B PIN \u5171\u7528\u901F\u7387\u9650\u5236\u3002",
+  "tempPinKindPublic": "\u516C\u7F51",
+  "tempPinKindLan": "\u5C40\u57DF\u7F51",
+  "tempPinDuration": "\u6709\u6548\u65F6\u957F",
+  "tempPinDuration1h": "1 \u5C0F\u65F6",
+  "tempPinDuration24h": "24 \u5C0F\u65F6",
+  "tempPinDuration7d": "7 \u5929",
+  "tempPinLabel": "\u5907\u6CE8\uFF08\u53EF\u9009\uFF0C\u7ED9\u8C01\u7528\uFF09",
+  "tempPinLabelPh": "\u670B\u53CB\u5C0F\u738B",
+  "tempPinCreate": "\u751F\u6210",
+  "tempPinCreated": "\u5DF2\u751F\u6210\uFF08\u4EC5\u663E\u793A\u4E00\u6B21\uFF09",
+  "tempPinCopied": "\u5DF2\u590D\u5236",
+  "tempPinCopy": "\u590D\u5236",
+  "tempPinEmpty": "\u6682\u65E0\u4E34\u65F6 PIN",
+  "tempPinExpiresIn": "\u8FC7\u671F",
+  "tempPinRevoke": "\u64A4\u9500",
+  "tempPinRevoked": "\u5DF2\u64A4\u9500"
 };
 var en2 = {
   "section": "Phone access",
@@ -1647,7 +1669,26 @@ var en2 = {
   "slowHint": " \u2014 taking long? Check for a proxy/VPN (e.g., Clash TUN)",
   "error": "\u274C Failed to enable: {detail} (you can retry; for proxy/VPN issues see the README)",
   "unknownError": "unknown error",
-  "feedback": "\u{1F64F} Questions? Open an issue on GitHub"
+  "feedback": "\u{1F64F} Questions? Open an issue on GitHub",
+  // Temp PIN (issue #69)
+  "tempPinTitle": "Temporary access PINs (auto-expire)",
+  "tempPinSubtitle": "Issue a time-limited 8-char PIN to a guest; expires automatically. Shares the main PIN rate limit.",
+  "tempPinKindPublic": "Public",
+  "tempPinKindLan": "LAN",
+  "tempPinDuration": "Valid for",
+  "tempPinDuration1h": "1 hour",
+  "tempPinDuration24h": "24 hours",
+  "tempPinDuration7d": "7 days",
+  "tempPinLabel": "Note (optional, who is this for)",
+  "tempPinLabelPh": "Friend Alice",
+  "tempPinCreate": "Create",
+  "tempPinCreated": "Created (shown once)",
+  "tempPinCopied": "Copied",
+  "tempPinCopy": "Copy",
+  "tempPinEmpty": "No temporary PINs yet",
+  "tempPinExpiresIn": "expires",
+  "tempPinRevoke": "Revoke",
+  "tempPinRevoked": "Revoked"
 };
 
 // client/index.jsx
@@ -1782,6 +1823,73 @@ function PocketSettingsTab({ rpcCall, t }) {
       setUpdateInfo((u) => ({ ...u, updating: false, result: "fail", output: err.message }));
     }
   };
+  const [tempPinForm, setTempPinForm] = (0, import_react2.useState)({ kind: "lan", expiresInSec: 86400, label: "" });
+  const [tempPinsList, setTempPinsList] = (0, import_react2.useState)([]);
+  const [tempPinLast, setTempPinLast] = (0, import_react2.useState)(null);
+  const [tempPinBusy, setTempPinBusy] = (0, import_react2.useState)(false);
+  const [tempPinError, setTempPinError] = (0, import_react2.useState)(null);
+  const loadTempPins = async () => {
+    try {
+      const r = await call(POCKET_ENDPOINTS.tempPinList, {});
+      setTempPinsList(Array.isArray(r?.tempPins) ? r.tempPins : []);
+    } catch {
+    }
+  };
+  (0, import_react2.useEffect)(() => {
+    loadTempPins();
+  }, []);
+  (0, import_react2.useEffect)(() => {
+    if (tempPinsList.length === 0 && !tempPinLast) return;
+    const t2 = setInterval(() => {
+      loadTempPins();
+    }, 3e4);
+    return () => clearInterval(t2);
+  }, [tempPinsList.length, tempPinLast]);
+  const createTempPinNow = async () => {
+    setTempPinBusy(true);
+    setTempPinError(null);
+    try {
+      const r = await call(POCKET_ENDPOINTS.tempPinCreate, { kind: tempPinForm.kind, expiresInSec: tempPinForm.expiresInSec, label: tempPinForm.label });
+      setTempPinLast(r);
+      setTempPinForm((f) => ({ ...f, label: "" }));
+      await loadTempPins();
+    } catch (err) {
+      setTempPinError(err.message);
+    } finally {
+      setTempPinBusy(false);
+    }
+  };
+  const revokeTempPinNow = async (p) => {
+    try {
+      await call(POCKET_ENDPOINTS.tempPinRevoke, { value: p.value, kind: p.kind });
+      showToast(t("tempPinRevoked"));
+      if (tempPinLast?.value === p.value) setTempPinLast(null);
+      await loadTempPins();
+    } catch (err) {
+      setError(err.message);
+    }
+  };
+  const copyTempPin = async (value) => {
+    try {
+      if (navigator.clipboard?.writeText) {
+        await navigator.clipboard.writeText(value);
+        showToast(t("tempPinCopied"));
+      }
+    } catch {
+    }
+  };
+  const formatRemaining = (expiresAt) => {
+    const ms = expiresAt - Date.now();
+    if (ms <= 0) return "0s";
+    const s = Math.floor(ms / 1e3);
+    if (s < 60) return `${s}s`;
+    const m = Math.floor(s / 60);
+    if (m < 60) return `${m}m`;
+    const h2 = Math.floor(m / 60);
+    if (h2 < 24) return `${h2}h`;
+    const d = Math.floor(h2 / 24);
+    return `${d}d`;
+  };
   const [disclaimerOpen, setDisclaimerOpen] = (0, import_react2.useState)(false);
   const [disclaimerChecked, setDisclaimerChecked] = (0, import_react2.useState)(false);
   const doStartTunnel = async () => {
@@ -2211,6 +2319,77 @@ function PocketSettingsTab({ rpcCall, t }) {
       ) : null
     ),
     error ? (0, import_react2.createElement)("div", { style: { color: "var(--dsw-alias-state-error-primary,#dc2626)", fontSize: 12, marginTop: 8 } }, `\u274C ${errText(error)}`) : null,
+    // 临时 PIN（issue #69）：带过期的访问密码，给访客用
+    (0, import_react2.createElement)(
+      "div",
+      { style: styles.block },
+      (0, import_react2.createElement)("div", { style: { fontWeight: 600, fontSize: 13, marginBottom: 4 } }, t("tempPinTitle")),
+      (0, import_react2.createElement)("div", { style: { ...styles.muted, marginBottom: 10 } }, t("tempPinSubtitle")),
+      // 生成表单：分类 + 时长 + 备注 + 生成
+      (0, import_react2.createElement)(
+        "div",
+        { style: { display: "flex", flexWrap: "wrap", gap: 8, alignItems: "center" } },
+        (0, import_react2.createElement)(
+          "select",
+          {
+            value: tempPinForm.kind,
+            onChange: (e) => setTempPinForm((f) => ({ ...f, kind: e.target.value })),
+            style: { font: "inherit", height: 30, padding: "0 8px", borderRadius: 8, border: "1px solid var(--dsw-alias-border-l2,#d1d5db)", background: "var(--dsw-alias-bg-layer-1,#fff)", color: "var(--dsw-alias-label-primary,inherit)" }
+          },
+          (0, import_react2.createElement)("option", { value: "public" }, t("tempPinKindPublic")),
+          (0, import_react2.createElement)("option", { value: "lan" }, t("tempPinKindLan"))
+        ),
+        (0, import_react2.createElement)(
+          "select",
+          {
+            value: String(tempPinForm.expiresInSec),
+            onChange: (e) => setTempPinForm((f) => ({ ...f, expiresInSec: Number(e.target.value) })),
+            style: { font: "inherit", height: 30, padding: "0 8px", borderRadius: 8, border: "1px solid var(--dsw-alias-border-l2,#d1d5db)", background: "var(--dsw-alias-bg-layer-1,#fff)", color: "var(--dsw-alias-label-primary,inherit)" }
+          },
+          (0, import_react2.createElement)("option", { value: "3600" }, t("tempPinDuration1h")),
+          (0, import_react2.createElement)("option", { value: "86400" }, t("tempPinDuration24h")),
+          (0, import_react2.createElement)("option", { value: "604800" }, t("tempPinDuration7d"))
+        ),
+        (0, import_react2.createElement)("input", {
+          style: { flex: 1, minWidth: 120, height: 30, padding: "0 10px", borderRadius: 8, border: "1px solid var(--dsw-alias-border-l2,#d1d5db)", fontSize: 13, outline: "none" },
+          placeholder: t("tempPinLabelPh"),
+          value: tempPinForm.label,
+          onChange: (e) => setTempPinForm((f) => ({ ...f, label: e.target.value })),
+          onKeyDown: (e) => {
+            if (e.key === "Enter") createTempPinNow();
+          }
+        }),
+        (0, import_react2.createElement)("button", { style: { ...styles.btn, height: 30 }, onClick: createTempPinNow, disabled: tempPinBusy }, t("tempPinCreate"))
+      ),
+      // 错误展示
+      tempPinError ? (0, import_react2.createElement)("div", { style: { color: "var(--dsw-alias-state-error-primary,#dc2626)", fontSize: 12, marginTop: 6 } }, errText(tempPinError)) : null,
+      // 刚生成的那一个（高亮，下一秒会消失提示用户立刻复制）
+      tempPinLast ? (0, import_react2.createElement)(
+        "div",
+        { style: { marginTop: 10, padding: "8px 10px", borderRadius: 8, background: "var(--dsw-alias-bg-layer-2,#f3f4f6)", display: "flex", alignItems: "center", justifyContent: "space-between", gap: 8, flexWrap: "wrap" } },
+        (0, import_react2.createElement)(
+          "div",
+          null,
+          (0, import_react2.createElement)("div", { style: { fontSize: 11, color: "var(--dsw-alias-state-success-primary,#16a34a)", fontWeight: 600, marginBottom: 2 } }, `${t("tempPinCreated")} \xB7 ${tempPinLast.kind === "public" ? t("tempPinKindPublic") : t("tempPinKindLan")} \xB7 ${formatRemaining(tempPinLast.expiresAt)}`),
+          (0, import_react2.createElement)("span", { style: { fontFamily: "ui-monospace,Menlo,monospace", fontSize: 16, letterSpacing: 2, fontWeight: 600 } }, tempPinLast.value)
+        ),
+        (0, import_react2.createElement)("button", { style: { ...styles.btn, height: 28, padding: "0 12px", fontSize: 12 }, onClick: () => copyTempPin(tempPinLast.value) }, t("tempPinCopy"))
+      ) : null,
+      // 列表
+      (0, import_react2.createElement)(
+        "div",
+        { style: { marginTop: 12, borderTop: "1px solid var(--dsw-alias-border-l2,#e5e7eb)", paddingTop: 8 } },
+        tempPinsList.length === 0 ? (0, import_react2.createElement)("div", { style: { ...styles.muted, padding: "6px 0" } }, t("tempPinEmpty")) : tempPinsList.map((p) => (0, import_react2.createElement)(
+          "div",
+          { key: p.value, style: { display: "flex", alignItems: "center", gap: 8, padding: "6px 0", borderBottom: "1px solid var(--dsw-alias-border-l2,#e5e7eb)" } },
+          (0, import_react2.createElement)("span", { style: { fontSize: 11, color: "var(--dsw-alias-label-tertiary,#8b93a1)", minWidth: 50 } }, p.kind === "public" ? t("tempPinKindPublic") : t("tempPinKindLan")),
+          (0, import_react2.createElement)("span", { style: { fontFamily: "ui-monospace,Menlo,monospace", fontSize: 13, letterSpacing: 1, flexShrink: 0 } }, p.value),
+          (0, import_react2.createElement)("span", { style: { ...styles.muted, flex: 1, overflow: "hidden", textOverflow: "ellipsis", whiteSpace: "nowrap" } }, p.label || "\u2014"),
+          (0, import_react2.createElement)("span", { style: { fontSize: 11, color: "var(--dsw-alias-label-tertiary,#8b93a1)" } }, `${t("tempPinExpiresIn")} ${formatRemaining(p.expiresAt)}`),
+          (0, import_react2.createElement)("button", { style: { ...styles.btn, height: 24, padding: "0 10px", fontSize: 11 }, onClick: () => revokeTempPinNow(p) }, t("tempPinRevoke"))
+        ))
+      )
+    ),
     // 恢复出厂设置：设置出问题时的临时兜底（最底部，避免误触）
     (0, import_react2.createElement)(
       "div",

package/client/index.jsx

@@ -165,6 +165,76 @@ function PocketSettingsTab({ rpcCall, t }) {
 
   // 安全免责声明（issue #31）：每次开启公网都必须先弹框勾选「我已知情」。
   // 服务端同样强制（tunnel.start 需 disclaimer: true），防绕过前端直接调 RPC。
+  // 临时 PIN（issue #69）：表单、刚生成项、列表
+  const [tempPinForm, setTempPinForm] = useState({ kind: 'lan', expiresInSec: 86400, label: '' });
+  const [tempPinsList, setTempPinsList] = useState([]);
+  const [tempPinLast, setTempPinLast] = useState(null); // { value, kind, expiresAt, label }
+  const [tempPinBusy, setTempPinBusy] = useState(false);
+  const [tempPinError, setTempPinError] = useState(null);
+
+  const loadTempPins = async () => {
+    try {
+      const r = await call(POCKET_ENDPOINTS.tempPinList, {});
+      setTempPinsList(Array.isArray(r?.tempPins) ? r.tempPins : []);
+    } catch { /* 忽略 */ }
+  };
+  useEffect(() => { loadTempPins(); }, []);
+
+  // 每 30 秒刷新一次（让剩余时间实时倒计时显示）
+  useEffect(() => {
+    if (tempPinsList.length === 0 && !tempPinLast) return;
+    const t = setInterval(() => {
+      // 触发 setNow 已有的 tick 重新渲染即可；这里只重新拉一次（处理过期自动消失）
+      loadTempPins();
+    }, 30_000);
+    return () => clearInterval(t);
+  }, [tempPinsList.length, tempPinLast]);
+
+  const createTempPinNow = async () => {
+    setTempPinBusy(true);
+    setTempPinError(null);
+    try {
+      const r = await call(POCKET_ENDPOINTS.tempPinCreate, { kind: tempPinForm.kind, expiresInSec: tempPinForm.expiresInSec, label: tempPinForm.label });
+      setTempPinLast(r);
+      setTempPinForm((f) => ({ ...f, label: '' }));
+      await loadTempPins();
+    } catch (err) {
+      setTempPinError(err.message);
+    } finally {
+      setTempPinBusy(false);
+    }
+  };
+  const revokeTempPinNow = async (p) => {
+    try {
+      await call(POCKET_ENDPOINTS.tempPinRevoke, { value: p.value, kind: p.kind });
+      showToast(t('tempPinRevoked'));
+      if (tempPinLast?.value === p.value) setTempPinLast(null);
+      await loadTempPins();
+    } catch (err) {
+      setError(err.message);
+    }
+  };
+  const copyTempPin = async (value) => {
+    try {
+      if (navigator.clipboard?.writeText) {
+        await navigator.clipboard.writeText(value);
+        showToast(t('tempPinCopied'));
+      }
+    } catch { /* 忽略 */ }
+  };
+  const formatRemaining = (expiresAt) => {
+    const ms = expiresAt - Date.now();
+    if (ms <= 0) return '0s';
+    const s = Math.floor(ms / 1000);
+    if (s < 60) return `${s}s`;
+    const m = Math.floor(s / 60);
+    if (m < 60) return `${m}m`;
+    const h = Math.floor(m / 60);
+    if (h < 24) return `${h}h`;
+    const d = Math.floor(h / 24);
+    return `${d}d`;
+  };
+
   const [disclaimerOpen, setDisclaimerOpen] = useState(false);
   const [disclaimerChecked, setDisclaimerChecked] = useState(false);
 
@@ -554,6 +624,62 @@ function PocketSettingsTab({ rpcCall, t }) {
 
     error ? h('div', { style: { color: 'var(--dsw-alias-state-error-primary,#dc2626)', fontSize: 12, marginTop: 8 } }, `❌ ${errText(error)}`) : null,
 
+    // 临时 PIN（issue #69）：带过期的访问密码，给访客用
+    h('div', { style: styles.block },
+      h('div', { style: { fontWeight: 600, fontSize: 13, marginBottom: 4 } }, t('tempPinTitle')),
+      h('div', { style: { ...styles.muted, marginBottom: 10 } }, t('tempPinSubtitle')),
+      // 生成表单：分类 + 时长 + 备注 + 生成
+      h('div', { style: { display: 'flex', flexWrap: 'wrap', gap: 8, alignItems: 'center' } },
+        h('select', {
+          value: tempPinForm.kind,
+          onChange: (e) => setTempPinForm((f) => ({ ...f, kind: e.target.value })),
+          style: { font: 'inherit', height: 30, padding: '0 8px', borderRadius: 8, border: '1px solid var(--dsw-alias-border-l2,#d1d5db)', background: 'var(--dsw-alias-bg-layer-1,#fff)', color: 'var(--dsw-alias-label-primary,inherit)' },
+        },
+          h('option', { value: 'public' }, t('tempPinKindPublic')),
+          h('option', { value: 'lan' }, t('tempPinKindLan')),
+        ),
+        h('select', {
+          value: String(tempPinForm.expiresInSec),
+          onChange: (e) => setTempPinForm((f) => ({ ...f, expiresInSec: Number(e.target.value) })),
+          style: { font: 'inherit', height: 30, padding: '0 8px', borderRadius: 8, border: '1px solid var(--dsw-alias-border-l2,#d1d5db)', background: 'var(--dsw-alias-bg-layer-1,#fff)', color: 'var(--dsw-alias-label-primary,inherit)' },
+        },
+          h('option', { value: '3600' }, t('tempPinDuration1h')),
+          h('option', { value: '86400' }, t('tempPinDuration24h')),
+          h('option', { value: '604800' }, t('tempPinDuration7d')),
+        ),
+        h('input', {
+          style: { flex: 1, minWidth: 120, height: 30, padding: '0 10px', borderRadius: 8, border: '1px solid var(--dsw-alias-border-l2,#d1d5db)', fontSize: 13, outline: 'none' },
+          placeholder: t('tempPinLabelPh'),
+          value: tempPinForm.label,
+          onChange: (e) => setTempPinForm((f) => ({ ...f, label: e.target.value })),
+          onKeyDown: (e) => { if (e.key === 'Enter') createTempPinNow(); },
+        }),
+        h('button', { style: { ...styles.btn, height: 30 }, onClick: createTempPinNow, disabled: tempPinBusy }, t('tempPinCreate')),
+      ),
+      // 错误展示
+      tempPinError ? h('div', { style: { color: 'var(--dsw-alias-state-error-primary,#dc2626)', fontSize: 12, marginTop: 6 } }, errText(tempPinError)) : null,
+      // 刚生成的那一个（高亮，下一秒会消失提示用户立刻复制）
+      tempPinLast ? h('div', { style: { marginTop: 10, padding: '8px 10px', borderRadius: 8, background: 'var(--dsw-alias-bg-layer-2,#f3f4f6)', display: 'flex', alignItems: 'center', justifyContent: 'space-between', gap: 8, flexWrap: 'wrap' } },
+        h('div', null,
+          h('div', { style: { fontSize: 11, color: 'var(--dsw-alias-state-success-primary,#16a34a)', fontWeight: 600, marginBottom: 2 } }, `${t('tempPinCreated')} · ${tempPinLast.kind === 'public' ? t('tempPinKindPublic') : t('tempPinKindLan')} · ${formatRemaining(tempPinLast.expiresAt)}`),
+          h('span', { style: { fontFamily: 'ui-monospace,Menlo,monospace', fontSize: 16, letterSpacing: 2, fontWeight: 600 } }, tempPinLast.value),
+        ),
+        h('button', { style: { ...styles.btn, height: 28, padding: '0 12px', fontSize: 12 }, onClick: () => copyTempPin(tempPinLast.value) }, t('tempPinCopy')),
+      ) : null,
+      // 列表
+      h('div', { style: { marginTop: 12, borderTop: '1px solid var(--dsw-alias-border-l2,#e5e7eb)', paddingTop: 8 } },
+        tempPinsList.length === 0
+          ? h('div', { style: { ...styles.muted, padding: '6px 0' } }, t('tempPinEmpty'))
+          : tempPinsList.map((p) => h('div', { key: p.value, style: { display: 'flex', alignItems: 'center', gap: 8, padding: '6px 0', borderBottom: '1px solid var(--dsw-alias-border-l2,#e5e7eb)' } },
+              h('span', { style: { fontSize: 11, color: 'var(--dsw-alias-label-tertiary,#8b93a1)', minWidth: 50 } }, p.kind === 'public' ? t('tempPinKindPublic') : t('tempPinKindLan')),
+              h('span', { style: { fontFamily: 'ui-monospace,Menlo,monospace', fontSize: 13, letterSpacing: 1, flexShrink: 0 } }, p.value),
+              h('span', { style: { ...styles.muted, flex: 1, overflow: 'hidden', textOverflow: 'ellipsis', whiteSpace: 'nowrap' } }, p.label || '—'),
+              h('span', { style: { fontSize: 11, color: 'var(--dsw-alias-label-tertiary,#8b93a1)' } }, `${t('tempPinExpiresIn')} ${formatRemaining(p.expiresAt)}`),
+              h('button', { style: { ...styles.btn, height: 24, padding: '0 10px', fontSize: 11 }, onClick: () => revokeTempPinNow(p) }, t('tempPinRevoke')),
+            )),
+      ),
+    ),
+
     // 恢复出厂设置：设置出问题时的临时兜底（最底部，避免误触）
     h('div', { style: styles.block },
       h('div', { style: { display: 'flex', alignItems: 'center', justifyContent: 'space-between', gap: 8 } },

package/client/pocket-locales.js

@@ -97,6 +97,25 @@ export const zh = {
   'error': '❌ 开启失败：{detail}（可重试；若是代理/VPN 问题见 README 排障）',
   'unknownError': '未知错误',
   'feedback': '有问题？欢迎到 GitHub Issues 反馈 🙏',
+  // 临时 PIN（issue #69）
+  'tempPinTitle': '临时访问 PIN（带超时）',
+  'tempPinSubtitle': '给访客开一个有寿命的 8 位 PIN，过期自动作废；与主 PIN 共用速率限制。',
+  'tempPinKindPublic': '公网',
+  'tempPinKindLan': '局域网',
+  'tempPinDuration': '有效时长',
+  'tempPinDuration1h': '1 小时',
+  'tempPinDuration24h': '24 小时',
+  'tempPinDuration7d': '7 天',
+  'tempPinLabel': '备注（可选，给谁用）',
+  'tempPinLabelPh': '朋友小王',
+  'tempPinCreate': '生成',
+  'tempPinCreated': '已生成（仅显示一次）',
+  'tempPinCopied': '已复制',
+  'tempPinCopy': '复制',
+  'tempPinEmpty': '暂无临时 PIN',
+  'tempPinExpiresIn': '过期',
+  'tempPinRevoke': '撤销',
+  'tempPinRevoked': '已撤销',
 }
 
 /** English dictionary, key-identical to the Chinese source of truth. */
@@ -194,4 +213,23 @@ export const en = {
   'error': '❌ Failed to enable: {detail} (you can retry; for proxy/VPN issues see the README)',
   'unknownError': 'unknown error',
   'feedback': '🙏 Questions? Open an issue on GitHub',
+  // Temp PIN (issue #69)
+  'tempPinTitle': 'Temporary access PINs (auto-expire)',
+  'tempPinSubtitle': 'Issue a time-limited 8-char PIN to a guest; expires automatically. Shares the main PIN rate limit.',
+  'tempPinKindPublic': 'Public',
+  'tempPinKindLan': 'LAN',
+  'tempPinDuration': 'Valid for',
+  'tempPinDuration1h': '1 hour',
+  'tempPinDuration24h': '24 hours',
+  'tempPinDuration7d': '7 days',
+  'tempPinLabel': 'Note (optional, who is this for)',
+  'tempPinLabelPh': 'Friend Alice',
+  'tempPinCreate': 'Create',
+  'tempPinCreated': 'Created (shown once)',
+  'tempPinCopied': 'Copied',
+  'tempPinCopy': 'Copy',
+  'tempPinEmpty': 'No temporary PINs yet',
+  'tempPinExpiresIn': 'expires',
+  'tempPinRevoke': 'Revoke',
+  'tempPinRevoked': 'Revoked',
 }

package/lib/index.js

@@ -21,7 +21,7 @@ import { createPocketService } from './service.mjs';
 import { installPocketRpc } from './web-rpc.js';
 import { restartHost } from './restart.js';
 import { advancedNoticeScript, DEFAULT_INJECT, classifyHost } from './proxy.mjs';
-import { lanEnabled, setLanEnabled, lanAuthEnabled, setLanAuthEnabled, lanIpOverride, setLanIpOverride, pinCustom, setPinCustom, tunnelMode, setTunnelMode, tunnelToken, setTunnelToken, tunnelHostname, setTunnelHostname, resetSettings, proxyPort } from './settings.mjs';
+import { lanEnabled, setLanEnabled, lanAuthEnabled, setLanAuthEnabled, lanIpOverride, setLanIpOverride, pinCustom, setPinCustom, tunnelMode, setTunnelMode, tunnelToken, setTunnelToken, tunnelHostname, setTunnelHostname, resetSettings, proxyPort, tempPinValuesFor, tempPins as readTempPins, createTempPin, revokeTempPin, cloudflaredPath } from './settings.mjs';
 
 const name = 'dsh-pocket';
 const inject = ['connection', 'webServer'];
@@ -220,6 +220,15 @@ export function apply(ctx, config = {}, internals = {}) {
     return () => {};
   }
 
+  // cloudflared 自定义路径（issue #45）：远程 Linux 服务器下载源全失败时，
+  // 让用户能在 settings.json 写死一个已经存在的二进制路径，绕过自动下载。
+  // 同步到 env 让 lib/tunnel.mjs 的 resolveCloudflared 第一时间读到。
+  const cfPath = cloudflaredPath();
+  if (cfPath) {
+    process.env.DSH_POCKET_CLOUDFLARED = cfPath;
+    logger.info(`dsh-pocket: using custom cloudflared at ${cfPath} (skipping auto-download) | 使用自定义 cloudflared 路径（跳过自动下载）`);
+  }
+
   // 桌面端环境识别（官方兼容模式，见 desktop 的 plugin-development.md）：
   // desktopProfiles / desktopPnpm 只在 DSH Desktop（Electron）里存在。
   // 桌面端有自己的更新/进程管理，我们这两项功能在此环境**关闭**（不删除），
@@ -276,6 +285,8 @@ export function apply(ctx, config = {}, internals = {}) {
       sessionKey: randomBytes(16).toString('hex'),
       getToken: (host) => tokenForHost(host),
       isProtected: (host) => (classifyHost(host) === 'public' ? true : lanAuthEnabled()),
+      // 临时 PIN（issue #69）：与主 PIN 同 host 分类，仅在受保护入口校验
+      getAltTokens: (host) => tempPinValuesFor(classifyHost(host) === 'public' ? 'public' : 'lan'),
     },
     // dsh web 浏览器会话启动 token（issue #77）：新版 dsh（>= 0.1.2-alpha.1）要求根路径
     // 带一次 `?token=` 换 cookie，否则 /api 与 WebSocket 全 401。token 每次进程启动都变，
@@ -332,6 +343,11 @@ export function apply(ctx, config = {}, internals = {}) {
       if (token !== undefined) setTunnelToken(token);
       return { mode: tunnelMode(), hostname: tunnelHostname(), tokenSet: tunnelToken().length > 0 };
     },
+    // 临时 PIN（issue #69）：创建/列出/撤销。前端只看到 value 一次（创建时），
+    // 列出时也回显 value（用户需要复制给别人），文件 0o600 + 仅本机 loopback RPC 兜底。
+    listTempPins: () => readTempPins(),
+    createTempPin: ({ kind, expiresInSec, label }) => createTempPin({ kind, expiresInSec, label }),
+    revokeTempPin: (value, kind) => revokeTempPin(value, kind),
     runUpdate: internals.runUpdate ?? { currentVersion, perform: performUpdate, loadedVersion: () => loadedVersion },
     restart: internals.restart ?? (() => pocketRestart(service)),
     restartNotice: internals.restartNotice ?? consumeRestartNotice,

package/lib/proxy.mjs

@@ -268,14 +268,24 @@ function isHtmlRequest(req) {
   return accept.includes('text/html') || req.url === '/' || /\.html?$/i.test(String(req.url));
 }
 
-/** 校验请求是否已认证；返回 true 放行。 */
-function authCheck(req, token, sessionKey) {
-  if (!token) return true; // 无 token（未配置密码）→ 放行
-  const expected = cookieFor(token, sessionKey);
-  const cookieTok = parseCookies(req.headers.cookie)[TOKEN_COOKIE];
-  if (cookieTok === expected) return true;
+/** 校验请求是否已认证；返回 true 放行。`tokens` 允许传多个（主 PIN + 临时 PIN）。 */
+function authCheck(req, tokens, sessionKey) {
+  const list = (Array.isArray(tokens) ? tokens : tokens ? [tokens] : []).filter(Boolean);
+  if (list.length === 0) return true; // 无 token（未配置密码）→ 放行
+  const cookies = parseCookies(req.headers.cookie);
+  const cookieTok = cookies[TOKEN_COOKIE];
+  if (cookieTok) {
+    for (const token of list) {
+      if (cookieTok === cookieFor(token, sessionKey)) return true;
+    }
+  }
   const qTok = new URL(req.url ?? '/', 'http://x').searchParams.get('token');
-  return qTok === expected;
+  if (qTok) {
+    for (const token of list) {
+      if (qTok === cookieFor(token, sessionKey)) return true;
+    }
+  }
+  return false;
 }
 
 /** 把浏览器可见的权威改写成 loopback 权威（Host 和 Origin 都改）。 */
@@ -296,6 +306,36 @@ function loopbackAuthority(headers, upstream) {
 // 只在 `GET /` 且请求还没带 dsh-auth-* cookie 时注入：上游拿到 token 会 303 回干净的根
 // 路径，若每次都注入就会 303 循环（浏览器很快报"重定向次数过多"）。
 const DSH_AUTH_COOKIE = 'dsh-auth-';
+/**
+ * 去掉 URL 上所有 `dsh-desktop-*` query 参数（issue #75）。
+ *
+ * dsh-pocket 在 ≤ 2.1.1 会用 `history.replaceState` 往页面 URL 上写
+ * `dsh-desktop-mode=compatibility` 和 `dsh-desktop-platform=<系统>`
+ * （desktopEnvPatchScript，已在 2.1.2 删除）。副作用是：用户当时收藏/保存过
+ * 的那个地址**一直带着这两个参数**。升级之后我们不再注入了，但用户打开旧
+ * 收藏时 URL 里仍然有 —— 上游 `decideDesktopBrowserAccess` 只要见到
+ * `dsh-desktop-` 前缀就认定是渲染器请求，普通浏览器没有渲染器 token，直接
+ * 403 forbidden。表现就是「我已经升到最新版了，还是 forbidden」。
+ *
+ * 脏参数是我们写进去的，就得由我们清掉。所有方法、所有路径都清理（不只是
+ * `GET /`）——API 与 WebSocket 握手带上这些参数同样会被拦。
+ *
+ * @param {string} reqUrl - 原始请求路径（含 query）。
+ * @returns {string} 清理后的路径；无该前缀参数或解析失败时原样返回。
+ */
+export function stripDesktopMarkers(reqUrl) {
+  let u;
+  try {
+    u = new URL(reqUrl ?? '/', 'http://dsh.invalid');
+  } catch {
+    return reqUrl;
+  }
+  const doomed = [...u.searchParams.keys()].filter((k) => k.startsWith('dsh-desktop-'));
+  if (doomed.length === 0) return reqUrl;
+  for (const key of doomed) u.searchParams.delete(key);
+  return `${u.pathname}${u.search}`;
+}
+
 export function upstreamPathWithLaunchToken(reqUrl, method, cookieHeader, launchToken) {
   if (method !== 'GET') return reqUrl;
   let u;
@@ -372,7 +412,9 @@ function attachWebSocketHeartbeat(socket, { intervalMs = 30_000, missLimit = 2 }
  * @param {string} [opts.host]      监听地址（默认 0.0.0.0：LAN 与隧道都能到）
  * @param {{host:string,port:number}} [opts.upstream] 上游 dsh web（默认 127.0.0.1:3080）
  * @param {string} [opts.injectHtml] 注入 HTML 的内容（默认 polyfill + 移动端适配；传 '' 关闭）
- * @param {object} [opts.auth]       可选访问令牌认证（issue #13）：{ getToken, isProtected, sessionKey }
+ * @param {object} [opts.auth]       可选访问令牌认证（issue #13 + #69）：{ getToken, getAltTokens?, isProtected, sessionKey }
+ *   - getToken(host) → 主 PIN（公网/局域网各一个，按 host 分类）
+ *   - getAltTokens?(host) → 临时 PIN 列表（issue #69），校验时与主 PIN 任一命中即放行
  * @param {object|false} [opts.rateLimit] 登录速率限制参数覆盖（issue #40；测试用短窗口）
  * @param {object|false} [opts.heartbeat] WebSocket 心跳注入（PR #41）：{ intervalMs, missLimit }；false 关闭（默认开：30s/容忍 2 个静默周期）
  * @param {() => boolean} [opts.lanAccessEnabled] 局域网访问是否开启（默认开启）。关闭时拦截经局域网 Host 的请求（公网/loopback 不受影响）。
@@ -396,11 +438,14 @@ export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DE
       }
       return;
     }
-    // 访问令牌认证（issue #13 + #18 + #33 + #40）：局域网与公网按开关/来源要求密码
+    // 访问令牌认证（issue #13 + #18 + #33 + #40 + #69）：局域网与公网按开关/来源要求密码
     if (auth) {
       const protectedHost = isProtectedHost(host, auth.isProtected);
       const token = protectedHost ? (auth.getToken?.(host) ?? null) : null;
+      // 临时 PIN（issue #69）：按 host 同源分发（公网临时 PIN 只在公网入口放行，局域网同理）
+      const altTokens = protectedHost && token && typeof auth.getAltTokens === 'function' ? (auth.getAltTokens(host) ?? []) : [];
       const sessionKey = auth.sessionKey ?? null;
+      const acceptedTokens = token ? [token, ...altTokens] : [];
       if (protectedHost && token) {
         const ip = clientIp(req);
         // 登录提交：速率限制（issue #40）→ 校验密码 → 种持久 HttpOnly cookie（30 天，绑定进程会话密钥）→ 回首页
@@ -438,7 +483,7 @@ export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DE
           });
           return;
         }
-        if (!authCheck(req, token, sessionKey)) {
+        if (!authCheck(req, acceptedTokens, sessionKey)) {
           if (isHtmlRequest(req)) {
             // 锁定期间打开登录页也给提示（HTTP 200 + 锁定文案；429 语义留给 POST 拒绝）
             const rl = limiter?.status(ip) ?? { locked: false, retryAfter: 0 };
@@ -455,7 +500,13 @@ export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DE
     const headers = loopbackAuthority({ ...req.headers }, upstream);
     // dsh web 浏览器会话 token（issue #77）：首屏根路径补一次，换回绑定 authority 的 cookie
     const launchTok = (typeof launchToken === 'function' ? launchToken() : '') || '';
-    const upstreamPath = upstreamPathWithLaunchToken(req.url, req.method, req.headers.cookie, launchTok);
+    // 先清掉历史遗留的 dsh-desktop-* 参数（issue #75），再补 launch token
+    const upstreamPath = upstreamPathWithLaunchToken(
+      stripDesktopMarkers(req.url),
+      req.method,
+      req.headers.cookie,
+      launchTok,
+    );
     const proxyReq = httpRequest(
       { host: upstream.host, port: upstream.port, method: req.method, path: upstreamPath, headers, agent: false },
       (proxyRes) => {
@@ -543,10 +594,12 @@ export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DE
       socket.destroy();
       return;
     }
-    // WebSocket 同样校验（防止绕过 HTTP 认证从 WS 进入）
+    // WebSocket 同样校验（防止绕过 HTTP 认证从 WS 进入；含临时 PIN，issue #69）
     if (auth) {
       const token = isProtectedHost(host, auth.isProtected) ? (auth.getToken?.(host) ?? null) : null;
-      if (token && !authCheck(req, token, auth.sessionKey ?? null)) {
+      const altTokens = token && typeof auth.getAltTokens === 'function' ? (auth.getAltTokens(host) ?? []) : [];
+      const acceptedTokens = token ? [token, ...altTokens] : [];
+      if (token && !authCheck(req, acceptedTokens, auth.sessionKey ?? null)) {
         socket.write('HTTP/1.1 401 Unauthorized\r\nConnection: close\r\n\r\n');
         socket.destroy();
         return;
@@ -554,7 +607,8 @@ export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DE
     }
     const headers = loopbackAuthority({ ...req.headers }, upstream);
     const proxyReq = httpRequest({
-      host: upstream.host, port: upstream.port, method: req.method, path: req.url, headers, agent: false,
+      // 同样清掉历史遗留的 dsh-desktop-* 参数（issue #75）
+      host: upstream.host, port: upstream.port, method: req.method, path: stripDesktopMarkers(req.url), headers, agent: false,
     });
     proxyReq.on('upgrade', (proxyRes, proxySocket, proxyHead) => {
       socket.write('HTTP/1.1 101 Switching Protocols\r\n');

package/lib/settings.mjs

@@ -14,6 +14,7 @@
 import { readFileSync, writeFileSync, mkdirSync, rmSync } from 'node:fs';
 import { join, dirname } from 'node:path';
 import { homedir } from 'node:os';
+import { randomBytes } from 'node:crypto';
 import { isValidIpv4 } from './ip.mjs';
 
 const settingsRel = join('dsh-pocket', 'settings.json');
@@ -212,3 +213,101 @@ export function setProxyPort(value) {
   writeSettings(s);
   return proxyPort();
 }
+
+// ---------- 临时 PIN（issue #69：带超时的临时访问） ----------
+// 让用户能给访客（朋友/同事/临时设备）开一个**有寿命**的 PIN，过期自动作废——
+//
+// 设计要点：
+//   - 临时 PIN 与主 PIN **共用速率限制**（按 IP）：攻击者拿到临时 PIN 也不能暴力破解别的；
+//   - 临时 PIN **绑 host 分类**：公网临时 PIN 只在公网入口校验，局域网临时 PIN 只在局域网入口校验
+//     （与主 PIN 的 host 分发一致；防止公网临时 PIN 被局域网内的人滥用，反之亦然）；
+//   - 过期**懒清理**：访问时过滤掉过期的，避免每次都写磁盘（频繁写影响响应时间）；
+//     设置页列表操作或重启 dsh web 之后才落盘（writeSettings 在 setTempPin / revokeTempPin 时调用）；
+//   - 不复用主 PIN 的「自定义标记」：临时 PIN 是一次性生成，标记无意义；
+//   - 存本机 0o600 settings.json（与 Token 一致）。
+//
+// 临时 PIN 默认长度同主 PIN（8 位字母数字），但由系统生成，用户不设置。
+// 一次性签名不重要：临时 PIN 本身足够长（8 位）且绑超时，被截获也只活到过期。
+//
+// 数据结构：settings.tempPins = [{ value, kind: 'public'|'lan', expiresAt: <epoch_ms>, label: <string> }]
+const TEMP_PIN_KINDS = new Set(['public', 'lan']);
+const TEMP_PIN_RE = /^[a-zA-Z0-9]{8}$/;
+/** 最小允许有效期 5 分钟（防误点立即过期让用户迷惑），最大 30 天。 */
+const TEMP_PIN_MIN_SEC = 5 * 60;
+const TEMP_PIN_MAX_SEC = 30 * 24 * 60 * 60;
+/** 临时 PIN 生成（issue #69）：与主 PIN 同长度（8 位字母数字），用密码学随机。 */
+function newTempPin() {
+  const bytes = randomBytes(8);
+  // 把 8 字节转 base32-ish 字母数字串，再截 8 位；碰撞概率忽略（8 字节熵 ≈ 2^64）
+  const alphabet = 'ABCDEFGHJKLMNPQRSTUVWXYZabcdefghjkmnpqrstuvwxyz23456789';
+  let out = '';
+  for (let i = 0; i < 8; i++) out += alphabet[bytes[i] % alphabet.length];
+  return out;
+}
+
+/** 读临时 PIN 列表（自动过滤过期项；不写磁盘）。 */
+export function tempPins() {
+  const arr = readSettings().tempPins;
+  if (!Array.isArray(arr)) return [];
+  const now = Date.now();
+  return arr
+    .filter((p) => p && typeof p === 'object' && typeof p.value === 'string' && typeof p.expiresAt === 'number' && p.expiresAt > now)
+    .map((p) => ({ value: p.value, kind: p.kind, expiresAt: p.expiresAt, label: typeof p.label === 'string' ? p.label : '' }));
+}
+
+/** 创建一个临时 PIN（issue #69）。返回 { value, expiresAt, kind, label }。 */
+export function createTempPin({ kind, expiresInSec, label = '' } = {}) {
+  if (!TEMP_PIN_KINDS.has(kind)) throw new Error('临时 PIN 类型必须是 public 或 lan | temp pin kind must be public or lan');
+  const sec = Number(expiresInSec);
+  if (!Number.isInteger(sec) || sec < TEMP_PIN_MIN_SEC || sec > TEMP_PIN_MAX_SEC) {
+    throw new Error(`临时 PIN 有效期需在 ${TEMP_PIN_MIN_SEC}-${TEMP_PIN_MAX_SEC} 秒之间 | expiresInSec out of range`);
+  }
+  const value = newTempPin();
+  const expiresAt = Date.now() + sec * 1000;
+  const s = readSettings();
+  s.tempPins = Array.isArray(s.tempPins) ? s.tempPins.filter((p) => p && p.expiresAt > Date.now()) : [];
+  s.tempPins.push({ value, kind, expiresAt, label: String(label).slice(0, 32) });
+  writeSettings(s);
+  return { value, kind, expiresAt, label: String(label).slice(0, 32) };
+}
+
+/** 撤销一个临时 PIN（按 value 匹配，kind 校验防止误删）。不存在也返回 false。 */
+export function revokeTempPin(value, kind) {
+  const v = String(value ?? '');
+  if (!TEMP_PIN_RE.test(v)) return false;
+  const s = readSettings();
+  if (!Array.isArray(s.tempPins)) return false;
+  const before = s.tempPins.length;
+  s.tempPins = s.tempPins.filter((p) => !(p?.value === v && (kind === undefined || p.kind === kind)));
+  if (s.tempPins.length === before) return false;
+  writeSettings(s);
+  return true;
+}
+
+/** 给定 kind 返回所有未过期的临时 PIN 集合（value 数组），用于 proxy 校验。 */
+export function tempPinValuesFor(kind) {
+  return tempPins().filter((p) => p.kind === kind).map((p) => p.value);
+}
+
+// ---------- cloudflared 路径（issue #45：远程 Linux 服务器下载源不可达时手动指定） ----------
+// Linux 服务器在国内/部分企业网下，所有 CDN 源（GitHub / ghproxy / gh.ddlc / gh-proxy）
+// 都连不上时，下载 cloudflared 二进制始终失败。允许用户在 settings.json 里**写死
+// 一个已经存在 / 自己上传的 cloudflared 路径**，跳过下载。`lib/tunnel.mjs` 的
+// `resolveCloudflared` 启动时会优先读 `process.env.DSH_POCKET_CLOUDFLARED`，
+// 找不到再回退到 PATH 探测和下载。`lib/index.js` 在插件 apply 时把 settings
+// 的这个值写入 env，确保 service 走自定义路径。
+// 空字符串 = 清除，回退到默认行为（PATH 探测 + 下载）。
+/** 当前 cloudflared 自定义路径（空 = 用默认）。 */
+export function cloudflaredPath() {
+  return readSettings().cloudflaredPath ?? '';
+}
+
+/** 设置 cloudflared 自定义路径。空字符串清除（回退到 PATH 探测 + 下载）。 */
+export function setCloudflaredPath(value) {
+  const v = String(value ?? '').trim();
+  const s = readSettings();
+  if (v) s.cloudflaredPath = v;
+  else delete s.cloudflaredPath;
+  writeSettings(s);
+  return v;
+}

package/lib/tunnel.mjs

@@ -300,6 +300,20 @@ let downloading = null;
 export { tsinghuaBottleUrl };
 
 export async function resolveCloudflared({ home, onPhase = () => {}, signal } = {}) {
+  // 自定义路径（issue #45）：用户可能在 settings.json 写了 cloudflaredPath，
+  // 或者在外部注入 process.env.DSH_POCKET_CLOUDFLARED；命中就直接用，绕过
+  // PATH 探测与下载（远程 Linux 服务器上下载源不可达时的兜底）。
+  const explicit = process.env.DSH_POCKET_CLOUDFLARED;
+  if (explicit) {
+    try {
+      await access(explicit);
+      return explicit;
+    } catch {
+      throw new Error(
+        `DSH_POCKET_CLOUDFLARED 指向的路径不可执行：${explicit} | cloudflaredPath is set but not accessible: ${explicit}`,
+      );
+    }
+  }
   if (cloudflaredOnPath()) return 'cloudflared';
   const dshHome = home ?? process.env.DSH_HOME ?? join(homedir(), '.dsh');
   const cacheDir = join(dshHome, 'dsh-pocket', 'bin');

package/lib/web-rpc.js

@@ -25,7 +25,7 @@ export function killHint(port) {
 }
 
 /** 注册 /dsh-pocket 逻辑通道（仅本机 loopback 可调）。 */
-export function installPocketRpc(ctx, { service, log = console, desktop = false, runUpdate = null, restart = null, restartNotice = null, getToken = null, getLanToken = null, refreshLanToken = null, getLanAuthEnabled = null, setLanAuthEnabled = null, getLanEnabled = null, setLanEnabled = null, getLanIpOverride = null, setLanIpOverride = null, getPinCustom = null, setCustomPin = null, getTunnelConfig = null, setTunnelConfig = null, resetPocket = null }) {
+export function installPocketRpc(ctx, { service, log = console, desktop = false, runUpdate = null, restart = null, restartNotice = null, getToken = null, getLanToken = null, refreshLanToken = null, getLanAuthEnabled = null, setLanAuthEnabled = null, getLanEnabled = null, setLanEnabled = null, getLanIpOverride = null, setLanIpOverride = null, getPinCustom = null, setCustomPin = null, getTunnelConfig = null, setTunnelConfig = null, resetPocket = null, listTempPins = null, createTempPin = null, revokeTempPin = null }) {
   if (!ctx?.connection?.rpc?.handle) {
     log.warn?.('dsh-pocket: DSH Host Connection RPC unavailable — settings tab disabled | 无 Connection RPC，设置页不可用');
     return () => {};
@@ -161,6 +161,25 @@ export function installPocketRpc(ctx, { service, log = console, desktop = false,
         const dshPort = service.dshPort ?? 3080;
         return ok({ ...result, hint: `重启后进程在后台运行；如需停止：${killHint(dshPort)}` });
       }
+      // 临时 PIN（issue #69）：生成 / 列出 / 撤销。临时 PIN 是带过期的主 PIN 同位替代品，
+      // 用于把访问权限临时分给别人（朋友/同事/临时设备），过期自动作废。
+      if (endpoint === POCKET_ENDPOINTS.tempPinCreate) {
+        if (!createTempPin) return fail('bad-request', '临时 PIN 生成不可用 | temp pin create unavailable');
+        try {
+          const pin = createTempPin({ kind: payload?.kind, expiresInSec: payload?.expiresInSec, label: payload?.label });
+          return ok(pin);
+        } catch (err) {
+          return fail('bad-request', err?.message ?? String(err));
+        }
+      }
+      if (endpoint === POCKET_ENDPOINTS.tempPinList) {
+        return ok({ tempPins: listTempPins?.() ?? [] });
+      }
+      if (endpoint === POCKET_ENDPOINTS.tempPinRevoke) {
+        if (!revokeTempPin) return fail('bad-request', '临时 PIN 撤销不可用 | temp pin revoke unavailable');
+        const ok = revokeTempPin(payload?.value, payload?.kind);
+        return ok({ revoked: ok });
+      }
       return fail('bad-request', `Unknown endpoint: ${endpoint}`);
     } catch (err) {
       log.error?.('dsh-pocket: rpc %s failed | RPC 失败: %s', endpoint, err?.message ?? err);

package/package.json

@@ -80,5 +80,5 @@
     "access": "public",
     "registry": "https://registry.npmjs.org/"
   },
-  "version": "2.3.0"
+  "version": "2.5.0"
 }