DSH 启动约 70 次后永久打不开（Web authentication failed）——auth cookie 无上限累积，请求头超过 16KB 被 431

[hoshiyumeen]

问题
DSH 用一段时间后，某天突然再也打不开，界面报 Web authentication failed。卸载重装、换配置都没用，只有删掉 Network 目录下的 cookie 文件才能恢复。

根因
DSH 每次启动（或每次建立会话/重连）都会向本地 127.0.0.1 写一条新的鉴权 cookie。
这条 cookie 的名字是随机的，形如 dsh-auth-xpZr2djv5o23MisJi。
Chromium 的 cookie 去重键是 host_key + name + path。名字随机 = 永远不重复 = 只增不减。
所有这些 cookie 会一起以 Cookie: 请求头发送，每条开销约 225 字节。
累积到约 73 条时，请求头超过约 16KB，服务端返回 431 Request Header Fields Too Large，鉴权失败，界面就显示 Web authentication failed。
本机实测数据
环境：Windows 10 专业版 19045，DSH 0.2.1-rc.3（nightly 渠道），Electron 44.7.0

13 小时内累积 27 条，全部 host_key = 127.0.0.1
合计请求头 6089 字节（5.9KB），距 16KB 还有 10.1KB
单条开销约 225.5 字节（名字约 22 字节 + 值约 172 字节 + 等号与分隔符）
16KB ÷ 225.5 ≈ 73 条，与社区反馈的"约 72 次启动后必现"吻合
条目的创建时间间隔是 2–18 分钟，并不严格等于"每次启动一条"，更像是每次会话或每次重连一条。所以实际到墙时间可能比 72 次启动更快。
说明：我这台机器目前才 5.9KB，没有亲自触发到 431。上面的阈值来自社区复现，我用本机计数和单条开销做了交叉验证。

临时规避
彻底退出 DSH（托盘退出 + 任务管理器里不能有 DeepSeek Harness 进程）后，删除以下两个文件，再启动会自动重建：

代码块
%APPDATA%@deepseek-ai\dsh-desktop\Network\Cookies
%APPDATA%@deepseek-ai\dsh-desktop\Network\Cookies-journal

建议修复
生成鉴权 cookie 时复用固定 name（例如统一叫 dsh-auth），让 Chromium 的 host + name + path 去重真正生效。
或者在启动时主动清理所有 dsh-auth-*，只保留最新一条。
或者给这条 cookie 设置合理的 Max-Age，让旧条目自然过期。
顺带检查：同一目录下 Trust Tokens 也在累积（本机 36KB），建议一并评估。

参考
社区视频记录了这个现象：https://b23.tv/B3J1KRz
该视频提及阈值约 16KB / 约 72 次启动

[Loukky]

我搞不懂这个bug反馈了十几天了更新了几个版本都还一直存在

[sphuang1030-prog]

补充一个独立的 Windows + 0.2.1-rc.5 复现，数据与 #11555 的 macOS 案例（71 条）完全一致，可交叉印证 #11408 的端口推导结论。

• 环境：Windows x64，@deepseek-ai/dsh-desktop 0.2.1-rc.5（app.asar 2026-10-29 22:02），Electron 44.7.0 / Node 24.21.0。
• 报错：desktop welcome: Web authentication failed，落在 connectDesktopWelcome（lib/main.js:8886）；rc.3 无此路径。
• Cookies 实测：%APPDATA%\@deepseek-ai\dsh-desktop\Network\Cookies 中 SELECT host_key, COUNT(*) ... GROUP BY host_key 为 [('127.0.0.1', 71)]，其中 name LIKE 'dsh-auth%' 恰为 71 条，无其他站点 cookie。单条 Path=/、Max-Age=2592000、HttpOnly、SameSite=Strict，值内编码 authority=127.0.0.1:<端口>。
• 排除项：① 手动 spawn host，GET ?token=... 三次均 303 + 同一 set-cookie，带 cookie GET / 为 200，Host 侧正常；② 系统 ProxyEnable=0、主进程无 setProxy，同机 Edge（全新 user-data-dir）访问同一 URL 为 303 → 200，不是代理；③ profile 无 @deepseek-ai/dsh* 覆盖，不是版本错配；④ 重装无效，因 userData（%APPDATA%\@deepseek-ai\dsh-desktop）不被清理。
• 修复后验证：备份 Cookies.bak-20261031 后 DELETE FROM cookies WHERE name LIKE 'dsh-auth%' + VACUUM，余 0 条，可正常启动；但每次启动仍新增一条，会复发。

结论与 #11408 一致：cookie 名 = 前缀 + sha256(authority)，authority 含随机端口 ⇒ 每次启动新名 ⇒ 只增不减 ⇒ 请求头超 16 KB 得 431 ⇒ 被 !authenticated.ok 误报为认证失败。真正修法应是 cookie 名不带端口 + 启动时清理同前缀旧条目。