桌面版启动约 70 次后必然失败：dsh-auth-* cookie 按端口累积导致 HTTP 431，被误报为 Web authentication failed

[Biggerx]

摘要

桌面版（macOS，@deepseek-ai/dsh-desktop 0.2.1-rc.3）在用了一段时间后，某天起每次启动都失败，弹窗「应用无法启动或已意外停止 / desktop welcome: Web authentication failed」，并提示重新安装——重装无效。

真实原因不是认证失败：内置宿主返回 HTTP 431 Request Header Fields Too Large。桌面宿主每次启动都用随机端口，而认证 cookie 按 host:port 命名、有效期 30 天且从不清理，累积约 70 条后 Cookie 请求头超过 Node 默认 16 KB 上限。

环境

• @deepseek-ai/dsh-desktop 0.2.1-rc.3（Electron 44.7.0 / Node 24.21.0），macOS darwin arm64
• @deepseek-ai/dsh 0.2.1-rc.2（CLI，用于对照验证）
• profile：desktop（bundles: dsh-base + dsh-web-app），locale zh-CN
• 触发量级：12 天、约 71 次启动

现象

• 弹窗文案 desktop welcome: Web authentication failed；崩溃日志 ~/Library/Logs/DeepSeek Harness/crash-*-host.log，栈顶 connectDesktopWelcome。
• Chromium 缓存中可见请求 http://127.0.0.1:<随机端口>/?token=… 的实际响应为 HTTP/1.1 431 Request Header Fields Too Large。
• Cookie 库 ~/Library/Application Support/@deepseek-ai/dsh-desktop/Cookies 中 dsh-auth-* 共 71 条，每条 name 52 + value 173 ≈ 228 字节，合计 ≈ 16.2 KB；Node http 服务端默认 maxHeaderSize 为 16384。
• 时间因果精确：第 71 条 cookie 的 creation_utc 与缓存中首条 431 记录同为 12:16:22，此后每次重试均为 431。
• 重启、重装均无效——cookie 在 Application Support 下，不在应用包内。

根因

三处各自合理的设计叠加：

1. apps/desktop-host：宿主启动参数硬编码 --port 0，每次启动 authority 都不同。
2. packages/client/connection：cookieName(authority) 以 sha256(host:port) 命名；cookieMaxAgeDays 默认 30；对过期 authority 的 cookie 没有任何清理。端口每次变化即新增一条，永久累积。
3. apps/desktop：connectDesktopWelcome() 只判断 if (!response.ok) throw new Error("desktop welcome: Web authentication failed")，把 431/5xx 一律归因为认证失败，崩溃弹窗进一步引导「重新安装」。

触发条件为 Node 内置默认值，不是环境误配置；问题稳定复现，非偶发。

复现

最小复现（不必真等 70 次启动）：注入 70 条 dsh-auth-* 到 cookie 库后启动 App，必然复现。

APP="$HOME/Library/Application Support/@deepseek-ai/dsh-desktop"
cp "$APP/Cookies" "$APP/Cookies.bak"
for i in $(seq 1 70); do
  sqlite3 "$APP/Cookies" "insert into cookies (creation_utc, host_key, top_frame_site_key, name, value, encrypted_value, path, expires_utc, is_secure, is_httponly, last_access_utc, has_expires, is_persistent, priority, samesite, source_scheme, source_port, is_same_party) values (strftime('%s','now')*1000000+11644473600000000,'127.0.0.1','','dsh-auth-test$i','x','','/',0,0,1,strftime('%s','now')*1000000+11644473600000000,0,1,1,0,1,80,0);"
done

自然复现：正常使用，启动约 70 次后必然发生。

建议修复

任一项即可消除（按侵入性从小到大）：

1. 清理：铸造新 cookie 时删除同 host 下其他 authority 的 dsh-auth-*，或保留最近 N 条，使总数有界。
2. 命名：cookie 名只取 host（不含端口），同时把 payload 的 authority 校验放宽到 host 维度——桌面场景下多 loopback 端口共享同一授权是安全的。
3. 兜底：宿主 server 显式提高 maxHeaderSize，并在超限时返回可诊断错误。
4. 错误分类：区分 401 与其他失败，431/5xx 不应报成"认证失败"并建议重装。

用户侧规避（已验证）

在 ~/.dsh/profiles/desktop/cordis.patch.yml 的 patch 层固定宿主端口，使 authority 恒定、cookie 恒为 1 条：

- id: webserver
  name: "@deepseek-ai/dsh-host-webserver"
  config:
    host: 127.0.0.1
    port: 34567
    compression: gzip
    compressionLevel: 1
    compressionThresholdBytes: 1024

验证：固定端口后 cookie 由 71 条降为 1 条（229 字节），GET / 仍返回 401（认证门有效），问题不再出现。

---

说明：本报告为一次性提交，报告者后续不参与跟进、复现或验证，也不会回复后续追问。报告已包含完整定位与可复现证据，如需进一步数据请按上述步骤自行采集。