Desktop 启动失败:浏览器会话 cookie 按端口命名但不清理,累积后触发 431

[Aceared0829]

Summary

Desktop 应用在积累足够多的启动次数后无法打开，报 desktop welcome: Web authentication failed。根因是浏览器会话 cookie 按 Host 的 authority（含端口）命名，而 Host 每次启动使用随机端口，Electron/Chromium 的 cookie jar 又只按 host 存储，导致每次启动都新增一个长期有效且无人清理的 cookie。累积到约 71 个时，请求头超过 Node 的 16 KiB 上限，Host 返回 431，外壳将其视为认证失败。

Reproduction

1. 持续使用 Desktop 应用，正常退出并重新打开，累计约 70 次启动。
2. 观察 Network/Cookies 中 127.0.0.1 下的 dsh-auth-* 条目数量。
3. 下一次启动时，认证请求返回非 2xx，抛出 desktop welcome: Web authentication failed。

每次启动端口不同，无需任何异常操作即可触发，只是需要足够的启动次数。

Current behavior

BrowserAuth 在成功交换启动令牌后下发 cookie，名字由 authority 决定（packages/client/connection/src/browser-auth.ts:116）：

function cookieName(authority: string): string {
  return COOKIE_PREFIX + encodeBase64Url(createHash('sha256').update(authority).digest())
}

authority 来自请求头（browser-auth.ts:79），非 TLS 场景取 url.host，即 127.0.0.1:<随机端口>。cookie 属性由 sessionCookie（browser-auth.ts:138）生成：

Max-Age=<cookieMaxAgeDays × 86400>; Path=/; Expires=<...>; HttpOnly; SameSite=Strict

cookieMaxAgeDays 默认 30（packages/client/connection/src/index.ts:115）。属性中没有 Domain，也没有任何按端口隔离的手段——而 Chromium 的 cookie jar 的 key 是 (host, name, path)，端口不参与。于是每个新端口产生的 cookie 都作为一个独立条目在同一 host 下长期保留。

实测（本机复现，累积了 71 条）：

cookie 数	Cookie 请求头字节	GET /?token=... 响应
60	15718	303（正常）
71	18600	431

失败发生在 Node HTTP 层，早于任何 DSH 逻辑，因此 Host 日志中没有任何异常，外壳只能看到认证交换失败。

dsh web 单实例重启也会线性累积，只是慢一些；Desktop 每次启动都是新端口，所以累积最快。

Expected behavior

浏览器会话 cookie 的数量不应随启动次数增长。可选方向：

• 按端口隔离并清理：cookie 名已经按 authority 区分，可在发送 303 的同时删除同 host 下其它 authority 的 dsh-auth-* 条目。
• 限制生命周期：把该 cookie 改为会话级（不带 Max-Age / Expires），或显著缩短有效期，让陈旧条目自然过期。
• 复用稳定端口：在可能的情况下让 Host 复用固定端口，使 authority 与 cookie 名保持稳定。

其中第一项改动最小，且能同时覆盖 Desktop 与 Web 的累积问题。

Environment

• @deepseek-ai/dsh-desktop 0.2.1-rc.2
• Electron 44.7.0 / Node 24.21.0
• Windows 11 (10.0.26200) x64
• 相关代码：packages/client/connection/src/browser-auth.ts（cookieName、requestAudience、sessionCookie）、packages/client/connection/src/index.ts（cookieMaxAgeDays）

Additional context

在 Desktop 外壳侧已有一个兜底修复：apps/desktop/src/web-document.ts 新增 discardStaleHostCookies()，在完成认证后清除 jar 中残留的 dsh-auth-*，使 jar 只保留本次启动的条目（Aceared0829/deepseek-harness#12）。该修复只覆盖 Desktop 外壳，Web 端和 dsh web 多实例场景仍会累积，因此根因仍建议在 Connection 层解决。

---

由于本仓库 Issues 已关闭，这份缺陷报告提交到 Discussions，便于维护者查阅与迁移。