desktop welcome: Web authentication failed

[Zeraphyms]

DSH无法打开并弹出如下，两个选项的重启均无效果，遂让Codex开修。

crash-2026-10-27T10-15-37-100Z-host.log

错误.txt为codex修复后复制的markdown
错误.txt

是大肥鱼说的这样吗？由于我频繁寻找插件调试，不断重启导致超限？只能手动清除解决了？

[GaussAA]

已在本机（Windows 11 / dsh-desktop 0.2.1-rc.3 / Electron 44.7.0 / Node 24.21.0）完整定位并复现，结论是：不是账号、网络或 profile 损坏，是认证 Cookie 累积把 HTTP 请求头撑过了 Host 的 16 KB 上限，请求在进入认证逻辑之前就被 431 拒掉了。

机制

1. Host 每次启动监听 127.0.0.1 的随机端口；
2. 认证 Cookie 名 = dsh-auth-<base64url(sha256("127.0.0.1:<port>"))>，即端口被编进了 Cookie 名（@deepseek-ai/dsh-client-connection → cookieName(authority)，authorizeIndex 里 res.writeHead(303, { 'set-cookie': sessionCookie(cookieName(authority), …) })）；
3. 但浏览器 Cookie 罐只按 domain 归档、不区分端口，且该 Cookie 是 Max-Age=2592000（30 天）、从不主动清退 → 每次启动都新增一条，永不回收；
4. 累积约 70 条后，Cookie 请求头本身已达 16,186 字节，加上 Chromium 固有请求头（UA / Accept / Accept-Encoding / Accept-Language / Sec-Fetch-*）后整块请求头超过 Host 内置 Node HTTP 服务器的默认 maxHeaderSize = 16384，Node 直接返回 431 Request Header Fields Too Large；
5. 外壳的 connectDesktopWelcome() 只判断 authenticated.ok，于是把 431 统一报成 desktop welcome: Web authentication failed——文案把排查方向带偏了。

复现（三组对照，同一 Host 实例、同一 URL）

请求	结果
71 条 dsh-auth-* + curl 默认极简头	303（未越线）
71 条 dsh-auth-* + 模拟 Chromium 默认头	431
1 条 dsh-auth-* + 同样的 Chromium 默认头	303

仓库层对照（同一 Electron 44.7.0，net.fetch(launchUrl, {credentials:'include'})）：

userData	结果
全新 profile	200
真实 profile 副本（71 条 Cookie）	431
同一副本，仅删掉 71 条 dsh-auth-*	200

删掉后启动正式客户端，主窗口正常进入，插件与模型列表全部加载。所以「重启太频繁导致超限、只能手动清」这个判断是对的，但根因不是重启次数，而是 Cookie 名含端口 + 按域累积：正常用户每天开关几次，也会在约两个月后必然踩线。

临时恢复（实测有效）

完全退出客户端后，删除 127.0.0.1 / localhost 下所有 dsh-auth-* Cookie 即可（账号凭据、会话、插件配置都不受影响）：

# <profile> = %APPDATA%\@deepseek-ai\dsh-desktop
import shutil, sqlite3, datetime, os
p = os.path.expandvars(r"%APPDATA%\@deepseek-ai\dsh-desktop\Network\Cookies")
shutil.copy2(p, p + ".bak-" + datetime.datetime.now().strftime("%Y%m%d-%H%M%S"))
c = sqlite3.connect(p)
n = c.execute("DELETE FROM cookies WHERE host_key IN ('127.0.0.1','localhost') AND name LIKE 'dsh-auth-%'").rowcount
c.commit(); c.execute("VACUUM"); c.commit(); c.close()
print("deleted", n)

（也可以直接清 127.0.0.1 的站点数据，但会连带清掉该域下的其他本地状态，上面这条更精准。）

给维护者的修复建议

1. 首选：cookieName() 不要纳入端口——Cookie 的作用域本来就是 domain+path，把 authority 整个哈希进名字是在跟浏览器模型对抗；若确需绑定端口，改用 Cookie 值里的 authority 断言即可（decodeCookie 已经在校验 payload.authority === authority，名字层面再绑一次是冗余的）；
2. 兜底：Host 启动时清理本域下不属于本进程 authority 的旧 dsh-auth-*；
3. HTTP 服务器显式设定 maxHeaderSize（或对 Cookie 超限单独处理），避免被自身历史 Cookie 打回 431；
4. 错误文案带上 HTTP 状态码与 URL，Web authentication failed 这种结论式文案在 431/401/连接失败三种场景下无法区分。

如需更多信息（完整的 Network\Cookies 样本、431 响应原样、crash-*-host.log）我可以补充。