兼容回环地址 Origin 丢失端口导致 API 403

[zyzhen]

在 127.0.0.1:3080 选择工作区时，请求被同源校验错误拒绝。

复现、预期与验收

• 复现步骤：
  1. 在 Windows 上全局安装 @deepseek-ai/dsh@0.1.0-rc.6。
  2. 运行 dsh web。
  3. 使用 Chrome 打开 http://127.0.0.1:3080/。
  4. 点击“选择工作区”。
• 实际结果：POST /api/host.pickDirectory 返回 HTTP 403，界面提示“无法打开文件夹”。
• 诊断证据：服务端收到 Host: 127.0.0.1:3080、Origin: http://127.0.0.1、Sec-Fetch-Site: same-origin。浏览器仍将请求标记为同源，但 Origin 中的非默认端口被请求链剥离，当前 isTrustedApiRequest() 按 originUrl.host === hostUrl.host 比较后拒绝。改用 http://localhost:3080/ 时问题消失。
• 预期结果：在 Host 为回环地址、Sec-Fetch-Site: same-origin、Origin 与 Host 主机名完全相同且仅缺少非默认端口时，允许本机 API 请求；same-site 跨端口及 cross-site 请求仍应返回 403。
• 环境：Windows 10.0.19044；Chrome 151.0.7922.137；Node.js 22.23.1；@deepseek-ai/dsh 0.1.0-rc.6。
• 验收条件：
  • 上述 host.pickDirectory 请求不再返回 403。
  • 正常同源请求继续通过。
  • Sec-Fetch-Site: same-site 的跨端口请求继续返回 403。
  • Sec-Fetch-Site: cross-site 的请求继续返回 403。

[DRAG0NM]

已定位根因：Chrome 访问 http://127.0.0.1:3080 时，请求的 Origin 头端口被剥离（http://127.0.0.1），而信任围栏 isTrustedApiRequest 用 new URL(origin).host === hostUrl.host 精确比较含端口的 host（`"127.0.0.1"… 完整源码定位与修复方案见 #1323 。

[naipi11]

遇到同样问题的话，最快的临时办法是把地址从 http://127.0.0.1:3080/ 换成 http://localhost:3080/，工作区选择就能正常走通；之后收藏或复制的链接也尽量保持 localhost，避免再次触发。

原因不在你这边：Chrome 对回环地址会把 Origin 里的非默认端口剥掉（发出去的 Origin 是 http://127.0.0.1），而服务端 isTrustedApiRequest 现在按“含端口的 host”精确比较，127.0.0.1 和 127.0.0.1:3080 对不上就返回 403。这是 0.1.0-rc.6 起就存在的已知问题，根因和候选修复（改为比较 hostname）在 #1323 里已有讨论，等合并后就不用绕了。

If you hit this, the quick workaround is to open http://localhost:3080/ instead of http://127.0.0.1:3080/. Root cause: Chrome strips the non-default port from the Origin header for loopback addresses, and isTrustedApiRequest compares the ported Host against the port-less Origin; see discussion #1323 for the proposed fix.

[LiuJunheng]

Hi, we hit exactly the same issue: Chrome/Chromium strips the port from the Origin header for loopback URLs (http://127.0.0.1), while the trust fence in dsh-client-connection compares new URL(origin).host === hostUrl.host including the port, so every /api/* request returns 403.

We filed a bug report with the root cause and a suggested fix (compare hostname only, ignore the port):
Bug report: #3106

We also maintain a green "double-click to run" launcher distribution that already fixes this with an idempotent patch (Origin check changed to hostname comparison; in LAN mode it also merges the machine's LAN IPs into trustedHosts). Feel free to reference the approach or use it directly:

• GitHub: https://github.com/LiuJunheng/DeepSeekHarnessGreen (releases: https://github.com/LiuJunheng/DeepSeekHarnessGreen/releases/latest)
• Gitee mirror: https://gitee.com/liujunheng/DeepSeekHarnessGreen (releases: https://gitee.com/liujunheng/DeepSeekHarnessGreen/releases)

你好，我们遇到了完全一样的问题：Chrome/Chromium 对回环地址（http://127.0.0.1）会剥离 Origin 头的端口，而 dsh-client-connection 的信任围栏用 new URL(origin).host === hostUrl.host 按含端口的 host 精确比较，导致所有 /api/* 请求 403。已向官方提交 BUG 反馈（含根因与建议修复：只比较 hostname、忽略端口）：
BUG 反馈帖：#3106

同时我们维护的绿色整合版启动器已经解决该问题（自动打幂等补丁：Origin 校验改 hostname 比较，局域网模式自动并入本机局域网 IP），欢迎参考方案或直接使用：

• GitHub：https://github.com/LiuJunheng/DeepSeekHarnessGreen（下载：https://github.com/LiuJunheng/DeepSeekHarnessGreen/releases/latest）
• Gitee 国内镜像：https://gitee.com/liujunheng/DeepSeekHarnessGreen（下载：https://gitee.com/liujunheng/DeepSeekHarnessGreen/releases）

---

本回复由 AI 辅助撰写 / This reply was drafted with AI assistance.

[naipi11]

根因判断一致：Chrome 对 127.0.0.1 会剥掉 Origin 端口，服务端还在按带端口的 host 比，所以 /api/* 会 403。官方侧同类讨论已经在 #1323，新开的 #3106 是同一件事。

现在还不想改代码的话，把地址换成 http://localhost:3080/ 就能过；收藏和复制链接也继续用 localhost，别再回到 127.0.0.1。

English: Same cause as #1323 — Chrome drops the loopback Origin port. Until hostname-only comparison lands, open http://localhost:3080/ instead of http://127.0.0.1:3080/.