桌面端累计约 70 次启动后无法启动：dsh-auth-* Cookie 累积导致请求头超过 16 KB（431）

[wjszjm]

桌面端累计约 70 次启动后无法启动：dsh-auth-* Cookie 累积导致请求头超过 16 KB（431）

环境

• DSH Desktop 0.2.1-rc.3（nightly 通道）
• Electron 44.7.0，Node 24.21.0
• Windows 11 x64
• @deepseek-ai/dsh-client-connection 0.2.1-rc.3（rc.4 亦未修复，见文末）
• 默认配置，cookieMaxAgeDays = 30，未安装任何第三方插件也能复现

现象

桌面端启动失败，连续 8 次，报错完全一致：

time: 2026-10-27T12:43:27.736Z
source: host
phase: startup
app: @deepseek-ai/dsh-desktop 0.2.1-rc.3
electron: 44.7.0
node: 24.21.0

--- error ---
Error: desktop welcome: Web authentication failed
    at connectDesktopWelcome (file:///D:/DeepSeek_Harness/resources/app.asar/lib/main.js:8886:31)
    at async Object.start (file:///D:/DeepSeek_Harness/resources/app.asar/lib/main.js:12195:22)

清空浏览器 Cookies 后立即恢复；在此之前无论重启多少次都起不来。

复现步骤

1. 同一个 Windows 用户、同一个 DSH home，正常启动/退出桌面端。
2. 每次启动都会在 127.0.0.1 上新增一个 dsh-auth-<sha256(authority)> Cookie：
   • Path=/、HttpOnly、SameSite=Strict、Max-Age 30 天
   • 名字中的 authority 对 HTTP 是 url.host，包含随机端口
3. Cookie 的存储作用域只看 host（127.0.0.1），不按端口隔离（RFC 6265），因此历史 Cookie 全部保留，并在下一次启动时被 Chromium 一起发送。
4. 累计约 70～71 个后，桌面端启动失败。

证据

1. Cookies 库

崩溃前 %APPDATA%\@deepseek-ai\dsh-desktop\Network\Cookies 中：

• host_key = '127.0.0.1'、name LIKE 'dsh-auth-%' 的 Cookie：71 个
• 最早创建：2026-10-17 09:32:05
• 最后创建：2026-10-27 12:43:27（与第一次崩溃同一秒）
• 全部 Path=/、HttpOnly、SameSite=Strict、30 天过期
• 按 name=value; 序列化后，Cookie 头合计 16,188 字节

2. 请求头超限

Node.js http 服务器默认 maxHeaderSize = 16384 字节。dsh-host-webserver 使用 createServer(listener)，没有覆盖该值。

本地用 Node 24 实测（仅 Cookie 一项）：

Cookie 头长度	结果
16,300 字节	HTTP 200
16,400 字节	HTTP 431（HPE_HEADER_OVERFLOW）

71 个 Cookie 的 16,188 字节再加上请求行、Host、User-Agent、Accept、Sec-Fetch-* 等，实际请求头已超过 16,384 字节，Host 在进入路由前返回 431。

3. 桌面端把 431 当成鉴权失败

app.asar/lib/main.js：

const authenticated = await send(authenticatedUrl, { credentials: "include" });
await authenticated.body?.cancel();
if (!authenticated.ok) throw new Error("desktop welcome: Web authentication failed");

431 属于 !ok，于是启动流程中止。

根因

@deepseek-ai/dsh-client-connection/lib/index.js：

/** Protocol-scoped cookie audience; HTTP retains its existing authority-only spelling. */
function requestAudience(headers, secure) {
  const host = header(headers, "host");
  if (host === void 0) return void 0;
  try {
    const url = new URL(`${secure ? "https:" : "http:"}//${host}`);
    return secure ? url.origin : url.host;   // ← HTTP 下包含端口
  } catch { ... }
}

function cookieName(authority) {
  return COOKIE_PREFIX + encodeBase64Url(createHash("sha256").update(authority).digest());
}

桌面端每次启动监听 --port 0（随机端口），于是：

• 每次 authority 不同 → Cookie 名不同
• Cookie 作用域不支持端口隔离 → 旧 Cookie 全部保留并随请求发送
• 30 天有效期，旧 Cookie 在过期前不会消失
• 约 70 次启动后突破 Node 的 16 KB 请求头上限

这不是插件问题，也不是用户配置问题；默认配置、干净 profile 即可复现。

建议修复（任选其一，推荐前两项）

1. 让 Cookie 名不包含端口：HTTP 下 audience 改为 hostname（如 url.hostname），使同一 host 的所有启动共享同一个 Cookie 名，新值覆盖旧值。
   • 注：现有设计注释说把端口写进 audience 是为了“同一 Harness home 可以跑多个 Web 端口而不冲突”，但 Cookie 本身不按端口隔离，这个目的并未达到；且桌面端每次都是随机端口，旧 Cookie 永远无法命中。
2. 启动时清理旧 Cookie：只保留当前 authority 对应的 dsh-auth-*，其余删除；或在 authorizeIndex 签发新 Cookie 时，删除同一 host 下其他 dsh-auth-*。
3. 调大 maxHeaderSize（治标）：createServer({ maxHeaderSize: 65536 }, listener)，可把阈值推后，但 Cookie 仍会无限增长。
4. 区分错误类型：connectDesktopWelcome 对 431 给出明确错误（如 request headers too large），不要把协议层错误报成鉴权失败，便于定位。

临时规避（用户侧）

完全退出桌面端后，只删除本地鉴权 Cookie：

DELETE FROM cookies
WHERE host_key IN ('127.0.0.1','localhost')
  AND name LIKE 'dsh-auth-%';

不要删除其他站点的 Cookie，否则会影响账号登录状态。

补充：rc.4 仍未修复

已下载并核对 @deepseek-ai/dsh-client-connection@0.2.1-rc.4（2026-10-26 发布）：

• requestAudience() 仍返回 url.host（含端口）
• 没有旧 Cookie 清理逻辑
• dsh-host-webserver@0.2.1-rc.4 仍为 createServer(listener)，未设置 maxHeaderSize

即升级到 rc.4 不能解决该问题，需要后续版本。