rdsh-gateway 0.7.0 → 0.8.0

package/dist/index.d.ts

@@ -10,7 +10,7 @@ export type { SessionPayload } from "./session.ts";
 export { PairManager } from "./pair.ts";
 export { startGateway } from "./server.ts";
 export type { GatewayOptions, RunningGateway } from "./server.ts";
-export { findDsh, spawnDsh } from "./spawn-dsh.ts";
+export { findDsh, spawnDsh, exchangeDshSessionCookie, detectDshVersion, compareDshVersions, dshVersionWarning, DSH_COMPAT_MIN, DSH_COMPAT_MAX } from "./spawn-dsh.ts";
 export type { SpawnedDsh } from "./spawn-dsh.ts";
 export { forwardHttp, createUpgradeProxy, rewriteHeadersForDsh } from "./proxy.ts";
 export type { ProxyTarget } from "./proxy.ts";
@@ -24,7 +24,7 @@ export { loginPageHtml } from "./login-page.ts";
 export { installService, uninstallService, serviceStatus, systemdUnit, launchdPlist, SERVICE_NAME, JOIN_SERVICE_NAME, HOST_SERVICE_NAME, HUB_SERVICE_NAME } from "./service.ts";
 export type { ServiceSpec } from "./service.ts";
 export declare const NAME = "rdsh-gateway";
-export { join, startJoin, registerJoin, detectInsecure, selfRevoke } from "./join.ts";
+export { join, startJoin, registerJoin, detectInsecure, selfRevoke, patchLoopbackJs } from "./join.ts";
 export type { JoinOptions, RegisterOutcome, JoinState, JoinHooks, StartJoinOptions, JoinHandle } from "./join.ts";
 export { readPersistedToken, clearPersistedToken } from "./token-store.ts";
 export { acquireJoinLock, releaseJoinLock, readJoinLock, JOIN_LOCK_PATH } from "./lock.ts";

package/dist/index.js

@@ -7,7 +7,7 @@ export { serve } from "./serve.js";
 export { SessionManager, SESSION_COOKIE, sessionTokenFromCookie } from "./session.js";
 export { PairManager } from "./pair.js";
 export { startGateway } from "./server.js";
-export { findDsh, spawnDsh } from "./spawn-dsh.js";
+export { findDsh, spawnDsh, exchangeDshSessionCookie, detectDshVersion, compareDshVersions, dshVersionWarning, DSH_COMPAT_MIN, DSH_COMPAT_MAX } from "./spawn-dsh.js";
 export { forwardHttp, createUpgradeProxy, rewriteHeadersForDsh } from "./proxy.js";
 export { loadConfig, normalizeConfig, resolveConfigPath, saveConfig, DEFAULT_HOST_CONFIG_PATH } from "./config.js";
 export { hashPassword, verifyPassword, UserManager } from "./auth.js";
@@ -16,7 +16,7 @@ export { loadTls } from "./tls.js";
 export { loginPageHtml } from "./login-page.js";
 export { installService, uninstallService, serviceStatus, systemdUnit, launchdPlist, SERVICE_NAME, JOIN_SERVICE_NAME, HOST_SERVICE_NAME, HUB_SERVICE_NAME } from "./service.js";
 export const NAME = "rdsh-gateway";
-export { join, startJoin, registerJoin, detectInsecure, selfRevoke } from "./join.js";
+export { join, startJoin, registerJoin, detectInsecure, selfRevoke, patchLoopbackJs } from "./join.js";
 export { readPersistedToken, clearPersistedToken } from "./token-store.js";
 export { acquireJoinLock, releaseJoinLock, readJoinLock, JOIN_LOCK_PATH } from "./lock.js";
 //# sourceMappingURL=index.js.map

package/dist/join.d.ts

@@ -60,6 +60,8 @@ export interface StartJoinOptions {
     };
     /** 主机名（challenge 页展示；缺省「本主机」） */
     name?: string;
+    /** 宿主代持的 dsh 浏览器会话 cookie（`dsh-auth-*`，0.1.2+）；有值时注入隧道→本地转发 */
+    dshAuthCookieHeader?: string | null;
 }
 /** 可停止的 join 隧道句柄。 */
 export interface JoinHandle {

package/dist/join.js

@@ -14,7 +14,7 @@ import { request as httpsRequest } from "node:https";
 import { hostname as osHostname } from "node:os";
 import { WebSocket } from "ws";
 import { FrameParser, FRAME_TYPE, encodeFrame, jsonPayload, parseJsonPayload, FLAG_E2E } from "rdsh-tunnel";
-import { findDsh, spawnDsh } from "./spawn-dsh.js";
+import { findDsh, spawnDsh, exchangeDshSessionCookie, detectDshVersion, dshVersionWarning } from "./spawn-dsh.js";
 import { rewriteHeadersForDsh } from "./proxy.js";
 import { clearPersistedToken, persistToken, readPersistedToken } from "./token-store.js";
 import { acquireJoinLock, releaseJoinLock } from "./lock.js";
@@ -190,6 +190,8 @@ function sendSyntheticHttp(send, streamId, status, headers, body) {
 export function startJoin(opts) {
     const hubWsBase = opts.hubUrl.replace(/^https/, "wss").replace(/^http/, "ws");
     const hooks = opts.hooks ?? {};
+    // 宿主代持的 dsh 会话 cookie（0.1.2+）；null = 无认证（0.1.1）或换发失败
+    const dshAuthCookie = opts.dshAuthCookieHeader ?? null;
     // DSH UI 兼容开关：缺省 true（跟随 E2EE）；可变引用 → 运行中可切换（插件面板即时生效）
     const uiCompat = { trustE2EEAsLoopback: opts.dshUiCompat?.trustE2EEAsLoopback !== false };
     // 访问口令（feature 15）：可变引用 → setAccessCode 运行中切换；null = gate off
@@ -301,7 +303,7 @@ export function startJoin(opts) {
         }
         function openWsStream(streamId, path, headers) {
             const upstream = new WebSocket(`ws://${opts.target.host}:${opts.target.port}${path}`, {
-                headers: rewriteHeadersForDsh(headers, opts.target),
+                headers: rewriteHeadersForDsh(headers, opts.target, dshAuthCookie),
             });
             const queue = [];
             wsStreams.set(streamId, { upstream, queue });
@@ -380,7 +382,7 @@ export function startJoin(opts) {
                 port: opts.target.port,
                 path,
                 method,
-                headers: rewriteHeadersForDsh(headers, opts.target),
+                headers: rewriteHeadersForDsh(headers, opts.target, dshAuthCookie),
             }, (upRes) => {
                 send(encodeFrame(FRAME_TYPE.OPEN, streamId, jsonPayload({
                     kind: "http",
@@ -717,8 +719,21 @@ export async function join(opts) {
     if (foundDsh === null) {
         throw new Error("cannot find 'dsh' in PATH. Install DeepSeek Harness first, or pass --dsh <path>.");
     }
+    // 版本窗口外 → warn（不硬拒）
+    const dshVersion = await detectDshVersion(foundDsh);
+    const versionWarn = dshVersionWarning(dshVersion);
+    if (versionWarn !== null)
+        console.warn(`\n⚠  ${versionWarn}\n`);
     const dsh = await spawnDsh(foundDsh);
     const target = { host: "127.0.0.1", port: dsh.port };
+    // 0.1.2+：换发浏览器会话 cookie 并代持注入隧道→本地转发
+    let dshAuthCookieHeader = null;
+    if (dsh.authToken !== undefined) {
+        dshAuthCookieHeader = await exchangeDshSessionCookie(dsh.port, dsh.authToken);
+        if (dshAuthCookieHeader === null) {
+            console.warn("rdsh join: dsh 0.1.2+ 会话 cookie 换发失败——远程访问将返回 401。");
+        }
+    }
     // 解析 host token（含证书自动检测 + 持久化）；进程重启后复用，避免重复配对。
     const { token, insecure, name } = await registerJoin(opts);
     console.log(`rdsh join: dsh web on 127.0.0.1:${dsh.port}`);
@@ -731,6 +746,7 @@ export async function join(opts) {
         role: "cli",
         dshUiCompat: opts.dshUiCompat,
         gateway: opts.gateway,
+        dshAuthCookieHeader,
         name,
         hooks: {
             onLog: (level, message) => {

package/dist/proxy.d.ts

@@ -11,14 +11,23 @@ export interface ForwardOptions {
      * （DSH 浏览器侧 RPC 依赖它），用非 secure context 也可用的 getRandomValues polyfill。
      */
     htmlInject?: string;
+    /**
+     * 宿主代持的 dsh 浏览器会话 cookie（`dsh-auth-<sha256(authority)>`，0.1.2+）。
+     * 提供时合并进每个转发/升级请求的 cookie 头，穿透 dsh 0.1.2 认证层。
+     */
+    authCookie?: string | null;
 }
 /**
  * 重写转发头以通过 DSH 围栏（isTrustedApiRequest 要求 Host/Origin 一致且为 loopback）。
  * - Host → 127.0.0.1:<port>（M1 事实：DSH 只信任 loopback/trusted Host）
  * - Origin 同步改写为 http://127.0.0.1:<port>（浏览器视角仍同源，不影响 CORS）
+ * - 文档导航请求剥离 accept-encoding：0.1.2 起 dsh 对 HTML 默认 gzip，会使下游
+ *   HTML 注入（hub 返回条/E2EE shim、serve polyfill）因 content-encoding 跳过；
+ *   剥离后 dsh 返回明文 HTML，压缩交给 hub 的 TLS + E2EE 层。静态 JS/CSS 仍 gzip。
+ * - 可选注入宿主 dsh 会话 cookie（合并进既有 cookie 头，保留 rdsh_gate 等，不覆盖）
  * 供 forwardHttp / createUpgradeProxy / join.ts（隧道→本地转发）复用。
  */
-export declare function rewriteHeadersForDsh(headers: Record<string, string | string[] | undefined>, target: ProxyTarget): Record<string, string | string[] | undefined>;
+export declare function rewriteHeadersForDsh(headers: Record<string, string | string[] | undefined>, target: ProxyTarget, dshAuthCookie?: string | null): Record<string, string | string[] | undefined>;
 /** 转发一个 HTTP 请求（含 SSE：响应流式写回，零缓冲）。 */
 export declare function forwardHttp(req: IncomingMessage, res: ServerResponse, target: ProxyTarget, opts?: ForwardOptions): void;
 /**
@@ -27,7 +36,7 @@ export declare function forwardHttp(req: IncomingMessage, res: ServerResponse, t
  * - handleUpgrade 成功后 ws 库会自动 emit 'connection'，这里不再手动 emit；
  * - 客户端消息立即入队，upstream open 后按序发送（避免握手竞态丢消息）。
  */
-export declare function createUpgradeProxy(target: ProxyTarget): {
+export declare function createUpgradeProxy(target: ProxyTarget, opts?: ForwardOptions): {
     /** 完成客户端 upgrade 握手并桥接（转发前必须已通过认证）。 */
     handleUpgrade(req: IncomingMessage, socket: Duplex, head: Buffer): void;
 };

package/dist/proxy.js

@@ -10,19 +10,37 @@ import { WebSocket, WebSocketServer } from "ws";
  * 重写转发头以通过 DSH 围栏（isTrustedApiRequest 要求 Host/Origin 一致且为 loopback）。
  * - Host → 127.0.0.1:<port>（M1 事实：DSH 只信任 loopback/trusted Host）
  * - Origin 同步改写为 http://127.0.0.1:<port>（浏览器视角仍同源，不影响 CORS）
+ * - 文档导航请求剥离 accept-encoding：0.1.2 起 dsh 对 HTML 默认 gzip，会使下游
+ *   HTML 注入（hub 返回条/E2EE shim、serve polyfill）因 content-encoding 跳过；
+ *   剥离后 dsh 返回明文 HTML，压缩交给 hub 的 TLS + E2EE 层。静态 JS/CSS 仍 gzip。
+ * - 可选注入宿主 dsh 会话 cookie（合并进既有 cookie 头，保留 rdsh_gate 等，不覆盖）
  * 供 forwardHttp / createUpgradeProxy / join.ts（隧道→本地转发）复用。
  */
-export function rewriteHeadersForDsh(headers, target) {
+export function rewriteHeadersForDsh(headers, target, dshAuthCookie) {
     const out = { ...headers };
     out.host = `${target.host}:${target.port}`;
     if (out.origin !== undefined) {
         out.origin = `http://${target.host}:${target.port}`;
     }
+    if (acceptsHtml(headers)) {
+        delete out["accept-encoding"];
+    }
+    if (dshAuthCookie !== undefined && dshAuthCookie !== null && dshAuthCookie !== "") {
+        const existing = out.cookie;
+        const current = Array.isArray(existing) ? existing.join("; ") : typeof existing === "string" ? existing : "";
+        out.cookie = current === "" ? dshAuthCookie : `${current}; ${dshAuthCookie}`;
+    }
     return out;
 }
+/** 请求是否期望 text/html（文档导航：地址栏/链接）；浏览器 fetch/script 的 Accept 不含它。 */
+function acceptsHtml(headers) {
+    const accept = headers["accept"];
+    const s = Array.isArray(accept) ? accept.join(",") : typeof accept === "string" ? accept : "";
+    return s.toLowerCase().includes("text/html");
+}
 /** 转发一个 HTTP 请求（含 SSE：响应流式写回，零缓冲）。 */
 export function forwardHttp(req, res, target, opts) {
-    const headers = rewriteHeadersForDsh(req.headers, target);
+    const headers = rewriteHeadersForDsh(req.headers, target, opts?.authCookie);
     const upstream = request({
         host: target.host,
         port: target.port,
@@ -80,10 +98,10 @@ export function forwardHttp(req, res, target, opts) {
  * - handleUpgrade 成功后 ws 库会自动 emit 'connection'，这里不再手动 emit；
  * - 客户端消息立即入队，upstream open 后按序发送（避免握手竞态丢消息）。
  */
-export function createUpgradeProxy(target) {
+export function createUpgradeProxy(target, opts) {
     const wss = new WebSocketServer({ noServer: true });
     wss.on("connection", (clientWs, req) => {
-        const headers = rewriteHeadersForDsh(req.headers, target);
+        const headers = rewriteHeadersForDsh(req.headers, target, opts?.authCookie);
         const upstreamUrl = `ws://${target.host}:${target.port}${req.url ?? "/"}`;
         const upstream = new WebSocket(upstreamUrl, { headers });
         const queue = [];

package/dist/serve.js

@@ -3,7 +3,7 @@
  */
 import { networkInterfaces } from "node:os";
 import { startGateway } from "./server.js";
-import { findDsh, spawnDsh } from "./spawn-dsh.js";
+import { findDsh, spawnDsh, exchangeDshSessionCookie, detectDshVersion, dshVersionWarning } from "./spawn-dsh.js";
 import { loadConfig, resolveConfigPath } from "./config.js";
 import { UserManager } from "./auth.js";
 import { loadTls } from "./tls.js";
@@ -25,7 +25,20 @@ export async function serve(opts) {
     if (foundDsh === null) {
         throw new Error("cannot find 'dsh' in PATH. Install DeepSeek Harness first, or set dshPath in config / pass --dsh <path>.");
     }
+    // 版本窗口外 → warn（不硬拒）：dsh 太新建议升 rdsh / 太旧建议升 dsh
+    const dshVersion = await detectDshVersion(foundDsh);
+    const versionWarn = dshVersionWarning(dshVersion);
+    if (versionWarn !== null)
+        console.warn(`\n⚠  ${versionWarn}\n`);
     const dsh = await spawnDsh(foundDsh);
+    // 0.1.2+：就绪行带 launch token → 换发浏览器会话 cookie 并代持注入转发
+    let dshAuthCookieHeader = null;
+    if (dsh.authToken !== undefined) {
+        dshAuthCookieHeader = await exchangeDshSessionCookie(dsh.port, dsh.authToken);
+        if (dshAuthCookieHeader === null) {
+            console.warn("rdsh: dsh 0.1.2+ 会话 cookie 换发失败——远程访问将返回 401（请确认 dsh web 已就绪或暂用 dsh@0.1.1-rc.2）。");
+        }
+    }
     // TLS 决策：有 tls.cert/key → https；无 → http（behindProxy 或 pair/none）。
     // password + http + 非反代 → server.ts 安全约束拒绝启动（需自行提供证书）。
     const tlsMaterial = await loadTls(config.tls, config.behindProxy);
@@ -42,6 +55,7 @@ export async function serve(opts) {
             pairCode,
             sessionTtlSeconds,
             dshPort: dsh.port,
+            dshAuthCookieHeader,
             reset: opts.reset,
             noCode: opts.noCode,
             authMode,

package/dist/server.d.ts

@@ -24,6 +24,8 @@ export interface GatewayOptions {
     pairCode?: string;
     sessionTtlSeconds: number;
     dshPort: number;
+    /** 宿主代持的 dsh 浏览器会话 cookie（`dsh-auth-*`，0.1.2+）；有值时注入转发 */
+    dshAuthCookieHeader?: string | null;
     /** true = 启动时重置会话密钥（全部会话失效） */
     reset?: boolean;
     /** 会话密钥目录（默认 ~/.rdsh；测试可注入临时目录） */

package/dist/server.js

@@ -69,6 +69,7 @@ export async function startGateway(opts) {
         sessionTtlSeconds: opts.sessionTtlSeconds,
         authMode,
         behindProxy,
+        dshAuthCookieHeader: opts.dshAuthCookieHeader ?? null,
         getVersion: () => currentVersion,
         isAllowed: (ip) => currentAllowFrom.length === 0 || ipInCidrs(ip, currentAllowFrom),
         userManager: opts.userManager,
@@ -98,7 +99,7 @@ export async function startGateway(opts) {
     });
     const address = server.address();
     const actualPort = typeof address === "object" && address !== null ? address.port : opts.port;
-    const upgradeProxy = createUpgradeProxy(target);
+    const upgradeProxy = createUpgradeProxy(target, { authCookie: ctx.dshAuthCookieHeader });
     return {
         server,
         sessions,
@@ -155,7 +156,7 @@ async function handleHttp(req, res, ctx, loginLimiter) {
         return;
     }
     if (ctx.authMode === "none") {
-        forwardHttp(req, res, ctx.target, { htmlInject: SECURE_CONTEXT_POLYFILL });
+        forwardHttp(req, res, ctx.target, { htmlInject: SECURE_CONTEXT_POLYFILL, authCookie: ctx.dshAuthCookieHeader });
         return;
     }
     if (!hasValidSession(req, ctx)) {
@@ -163,7 +164,7 @@ async function handleHttp(req, res, ctx, loginLimiter) {
         res.end();
         return;
     }
-    forwardHttp(req, res, ctx.target, { htmlInject: SECURE_CONTEXT_POLYFILL });
+    forwardHttp(req, res, ctx.target, { htmlInject: SECURE_CONTEXT_POLYFILL, authCookie: ctx.dshAuthCookieHeader });
 }
 async function handlePairPost(req, res, ctx) {
     const ip = req.socket.remoteAddress ?? "unknown";

package/dist/spawn-dsh.d.ts

@@ -2,6 +2,11 @@ import type { ChildProcess } from "node:child_process";
 export interface SpawnedDsh {
     /** dsh 实际监听端口（OS 分配） */
     port: number;
+    /**
+     * 0.1.2+ 就绪行携带的 launch token（`/?token=` 后）；0.1.1 及更早为 undefined。
+     * 有值才需要换发浏览器会话 cookie。
+     */
+    authToken?: string;
     child: ChildProcess;
     /** 终止 dsh（SIGTERM，超时 SIGKILL），返回退出码 */
     stop(): Promise<number>;
@@ -17,3 +22,31 @@ export declare function findDsh(override?: string): string | null;
  * dsh 启动失败/超时 → reject。
  */
 export declare function spawnDsh(dshPath: string): Promise<SpawnedDsh>;
+/**
+ * 用 launch token 向 dsh web 换发浏览器会话 cookie（0.1.2+ 认证）。
+ * `GET /?token=<t>` → 303 + `Set-Cookie: dsh-auth-<sha256(authority)>=v1...`。
+ * 用 node:http 而非 fetch：fetch 的 opaque-redirect 响应读不到 Set-Cookie。
+ * 返回 cookie 的 `name=value` 段（不含属性）；换发失败/超时/无 cookie → null（调用方降级）。
+ */
+export declare function exchangeDshSessionCookie(port: number, token: string, timeoutMs?: number): Promise<string | null>;
+/** 探测 dsh 版本号（`dsh --version` 输出如 `0.1.2-rc.1`）；失败/不可解析 → null。 */
+export declare function detectDshVersion(dshPath: string, timeoutMs?: number): Promise<string | null>;
+/**
+ * 比较两个 dsh 版本串（如 `0.1.1-rc.2` / `0.1.2-rc.1`），支持 `-rc.N`/`-beta.N` 后缀：
+ * 返回负/0/正；同 core 时 release 大于任何 prerelease；不可解析排序为「更旧」。
+ * 语义对齐 dsh4vscode 的 compareVersions（跨仓库同一 dsh 版本约定）。
+ */
+export declare function compareDshVersions(a: string, b: string): number;
+/**
+ * remote-dsh 已实测兼容的 dsh 版本窗口（registry 实存版本定界）。
+ * ⚠️ 适配新的 dsh 版本并真机实测后，须同步扩展此窗口（见 doc/fix/20260907-dsh-0.1.2-rc1-auth/）。
+ */
+export declare const DSH_COMPAT_MIN = "0.1.1-rc.2";
+export declare const DSH_COMPAT_MAX = "0.1.2-rc.1";
+/**
+ * 版本落在实测窗口外时的提示文案（零文档导向：直接给动作指令，用户不查表）。
+ * - 比 max 新 → 升级 remote-dsh 或暂用旧 dsh；
+ * - 比 min 旧 → 升级 dsh；
+ * - 在窗口内 / 探测失败（version=null）→ null（不提示）。
+ */
+export declare function dshVersionWarning(version: string | null): string | null;

package/dist/spawn-dsh.js

@@ -4,13 +4,20 @@
  * 事实依据（discussion.md §2）：`dsh web --port 0 --no-open` 由 OS 分配端口，
  * 启动时打印 `dsh web: http://127.0.0.1:<port>`（dsh-web-app/lib/index.js）。
  */
-import { spawn } from "node:child_process";
+import { execFile, spawn } from "node:child_process";
 import { accessSync } from "node:fs";
+import { get } from "node:http";
 import { createInterface } from "node:readline";
-/** dsh 的 URL 行格式（`dsh web: http://127.0.0.1:<port> (LAN: ...)`）。 */
-const URL_LINE_RE = /dsh web:\s*http:\/\/127\.0\.0\.1:(\d+)/;
+/**
+ * dsh 的 URL 行格式。0.1.1：`dsh web: http://127.0.0.1:<port>`；
+ * 0.1.2+：`dsh web: http://127.0.0.1:<port>/?token=<launchToken> (LAN: ...)`。
+ * 就绪行不锚定行尾（LAN 提示可随行出现）；token 为 base64url（[A-Za-z0-9_-]）。
+ */
+const URL_LINE_RE = /dsh web:\s*http:\/\/127\.0\.0\.1:(\d+)(?:\/\?token=([A-Za-z0-9_-]+))?/;
 const READY_TIMEOUT_MS = 30_000;
 const STOP_TIMEOUT_MS = 5_000;
+const VERSION_TIMEOUT_MS = 5_000;
+const EXCHANGE_TIMEOUT_MS = 5_000;
 /**
  * 在 PATH 中查找 dsh 可执行文件；`override` 直接使用。
  * 找不到返回 null。
@@ -58,7 +65,7 @@ export function spawnDsh(dshPath) {
                 // 就绪：后续 dsh 输出全部透传
                 child.stdout?.pipe(process.stdout);
                 child.stderr?.pipe(process.stderr);
-                resolve({ port: Number(m[1]), child, stop: () => stopDsh(child) });
+                resolve({ port: Number(m[1]), authToken: m[2], child, stop: () => stopDsh(child) });
             }
             else {
                 process.stdout.write(`${line}\n`);
@@ -88,4 +95,127 @@ function stopDsh(child) {
         setTimeout(() => child.kill("SIGKILL"), STOP_TIMEOUT_MS).unref();
     });
 }
+/**
+ * 用 launch token 向 dsh web 换发浏览器会话 cookie（0.1.2+ 认证）。
+ * `GET /?token=<t>` → 303 + `Set-Cookie: dsh-auth-<sha256(authority)>=v1...`。
+ * 用 node:http 而非 fetch：fetch 的 opaque-redirect 响应读不到 Set-Cookie。
+ * 返回 cookie 的 `name=value` 段（不含属性）；换发失败/超时/无 cookie → null（调用方降级）。
+ */
+export function exchangeDshSessionCookie(port, token, timeoutMs = EXCHANGE_TIMEOUT_MS) {
+    return new Promise((resolve) => {
+        const req = get({ host: "127.0.0.1", port, path: `/?token=${encodeURIComponent(token)}` }, (res) => {
+            const raw = res.headers["set-cookie"];
+            const list = Array.isArray(raw) ? raw : raw !== undefined ? [raw] : [];
+            let found = null;
+            for (const c of list) {
+                const segment = c.split(";", 1)[0]?.trim() ?? "";
+                if (segment.startsWith("dsh-auth-")) {
+                    found = segment;
+                    break;
+                }
+            }
+            res.resume();
+            resolve(found);
+        });
+        req.on("error", () => resolve(null));
+        req.setTimeout(timeoutMs, () => {
+            req.destroy();
+            resolve(null);
+        });
+    });
+}
+/** 探测 dsh 版本号（`dsh --version` 输出如 `0.1.2-rc.1`）；失败/不可解析 → null。 */
+export function detectDshVersion(dshPath, timeoutMs = VERSION_TIMEOUT_MS) {
+    return new Promise((resolve) => {
+        execFile(dshPath, ["--version"], { timeout: timeoutMs }, (err, stdout) => {
+            if (err) {
+                resolve(null);
+                return;
+            }
+            const first = stdout.trim().split(/\r?\n/)[0] ?? "";
+            const m = first.match(/^\d+\.\d+\.\d+(?:-[0-9A-Za-z.-]+)?$/);
+            resolve(m !== null ? m[0] : null);
+        });
+    });
+}
+function parseVersion(v) {
+    const m = v.trim().match(/^(\d+)\.(\d+)\.(\d+)(?:-([0-9A-Za-z.-]+))?$/);
+    if (m === null)
+        return null;
+    const core = [Number(m[1]), Number(m[2]), Number(m[3])];
+    const pre = m[4] !== undefined ? m[4].split(".").map((s) => (/^\d+$/.test(s) ? Number(s) : s)) : null;
+    return { core, pre };
+}
+/**
+ * 比较两个 dsh 版本串（如 `0.1.1-rc.2` / `0.1.2-rc.1`），支持 `-rc.N`/`-beta.N` 后缀：
+ * 返回负/0/正；同 core 时 release 大于任何 prerelease；不可解析排序为「更旧」。
+ * 语义对齐 dsh4vscode 的 compareVersions（跨仓库同一 dsh 版本约定）。
+ */
+export function compareDshVersions(a, b) {
+    const pa = parseVersion(a);
+    const pb = parseVersion(b);
+    if (pa === null && pb === null)
+        return 0;
+    if (pa === null)
+        return -1;
+    if (pb === null)
+        return 1;
+    for (let i = 0; i < 3; i++) {
+        const x = pa.core[i];
+        const y = pb.core[i];
+        if (x !== y)
+            return x - y;
+    }
+    if (pa.pre === null && pb.pre === null)
+        return 0;
+    if (pa.pre === null)
+        return 1;
+    if (pb.pre === null)
+        return -1;
+    const len = Math.max(pa.pre.length, pb.pre.length);
+    for (let i = 0; i < len; i++) {
+        const x = pa.pre[i];
+        const y = pb.pre[i];
+        if (x === undefined)
+            return -1;
+        if (y === undefined)
+            return 1;
+        if (typeof x === "number" && typeof y === "number") {
+            if (x !== y)
+                return x - y;
+        }
+        else if (typeof x === "string" && typeof y === "string") {
+            if (x !== y)
+                return x < y ? -1 : 1;
+        }
+        else {
+            return typeof x === "number" ? -1 : 1;
+        }
+    }
+    return 0;
+}
+/**
+ * remote-dsh 已实测兼容的 dsh 版本窗口（registry 实存版本定界）。
+ * ⚠️ 适配新的 dsh 版本并真机实测后，须同步扩展此窗口（见 doc/fix/20260907-dsh-0.1.2-rc1-auth/）。
+ */
+export const DSH_COMPAT_MIN = "0.1.1-rc.2";
+export const DSH_COMPAT_MAX = "0.1.2-rc.1";
+/**
+ * 版本落在实测窗口外时的提示文案（零文档导向：直接给动作指令，用户不查表）。
+ * - 比 max 新 → 升级 remote-dsh 或暂用旧 dsh；
+ * - 比 min 旧 → 升级 dsh；
+ * - 在窗口内 / 探测失败（version=null）→ null（不提示）。
+ */
+export function dshVersionWarning(version) {
+    if (version === null)
+        return null;
+    if (compareDshVersions(version, DSH_COMPAT_MAX) > 0) {
+        return (`检测到 dsh ${version}：该版本超出 remote-dsh 已实测范围（≤${DSH_COMPAT_MAX}），远程访问可能不可用。` +
+            `升级 remote-dsh：npm i -g remote-dsh@latest；或暂用 dsh@${DSH_COMPAT_MIN}。`);
+    }
+    if (compareDshVersions(version, DSH_COMPAT_MIN) < 0) {
+        return `检测到 dsh ${version}：版本过旧，请升级 dsh：npm i -g @deepseek-ai/dsh@latest。`;
+    }
+    return null;
+}
 //# sourceMappingURL=spawn-dsh.js.map

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "rdsh-gateway",
-  "version": "0.7.0",
+  "version": "0.8.0",
   "description": "rdsh host-side component: LAN auth gateway + outbound tunnel endpoint (spawns dsh web)",
   "license": "MIT",
   "type": "module",