v0.1.3 — 阿里云百炼 Coding Plan provider + 安全加固

dsh-musage v0.1.3

What's Changed

Added

• dashscope provider（阿里云百炼 / Model Studio Coding Plan）: 三窗口套餐用量（5h 滚动 / 周 / 月，按模型调用次数计），控制台 API queryCodingPlanInstanceInfoV2，国内（bailian.console.aliyun.com）/ 国际（modelstudio.console.alibabacloud.com）双宿主自动回退。widget 显示 Bailian 5h X% | Wk Y% | Mo Z%（@sheecegardezi, #1）
• 百炼 route id 别名（dashscope / bailian / qwen / coding-plan 等）与 ref 候选（DASHSCOPE_API_KEY / BAILIAN_* / QWEN_* 等）（#1）
• 首份烟测 npm test（test/musage-smoke.mjs）+ GitHub Actions CI（node 22/24 矩阵）

Security

• 鉴权 header 移出 argv: 全部经 stdin curl 配置（curl -K -）下发，本机 ps 输出不再泄漏 API Key（#1）
• 路由信任检查放宽到 IP 字面量: 修 dsh web 绑 0.0.0.0 后局域网访问 403；域名 Host 仍拒绝（IP 字面量不可能被 DNS rebinding 劫持）（#1）
• 路由响应补 cache-control: no-store，防浏览器启发式缓存旧数据（#1）

Fixed

• client 端 props.sessionId 兼容 DSH 0.1.x RC slot 系统（v0.1.2 修复，随本版首次发布）: 优先 props.session.sessionId，回落 props.sessionId
• 4xx 非鉴权错误归类 client_error（原误标 server_error）（#1）

Changed

• 后台预热轮询 60s → 5min（widget 挂载时 client 仍每 60s 刷新）（#1）

Full Changelog: v0.1.1...v0.1.3

v0.1.1 — 修 client half slots inject 声明

What's fixed

Critical: client half slots service inject declaration missing.

dsh/client.js 的 apply(ctx) 读 ctx.slots, 但 exports.inject 只声明了 timer + modelDirectories. Cordis 的 ctx.<name> proxy 要求属性必须先在 inject 数组里声明 —— 否则 loader 抛 cannot get property "slots" without inject 并拒绝整个 client entry. 结果: DSH Web UI 的 composer quota readout 完全不渲染.

• 修复: exports.inject = ["slots", "timer", "modelDirectories"]
• 影响版本: v0.1.0 (2026-08-18 发布的 bundle 形态首版)
• 触发条件: 任何 platform: web profile 加载 client 半边时必触发

Install / upgrade

# 重装即升级 (dsh plugin 内部就是把参数原样转发给 pnpm)
dsh plugin --profile web add github:Thedeergod666/dsh-musage

然后在浏览器里 Cmd+Shift+R 硬刷新.

桌面端 (DeepSeek Harness.app) 走侧边栏 插件 页, + 添加插件 粘 github:Thedeergod666/dsh-musage, 装完不用重启 (桌面端 profile 默认开着 HMR).

Notes

v0.1.2 (client 端 props.sessionId 兼容 DSH 0.1.x RC slot 系统) 没有单独发版, 随 v0.1.3 一起发布. 直接升到 v0.1.3 即可.