[Bug] Desktop 启动崩溃：dsh-auth-* cookie 随随机端口在 127.0.0.1 下累积，第 72 次启动必然 431（Web authentication failed）

[mydldlt]

现象

DSH Desktop 启动在 phase: startup 阶段直接失败，崩溃日志（%APPDATA%\@deepseek-ai\dsh-desktop\logs\crash-*-host.log）两次完全一致：

phase: startup
Error: desktop welcome: Web authentication failed
    at connectDesktopWelcome (file:///.../resources/app/lib/main.js:16856:31)
    at async Object.start (file:///.../resources/app/lib/main.js:20386:22)

重启无用，清掉浏览器 cookie 后立刻恢复。

根因（代码级，四点）

1. 每次启动都是新端口 — resources/app/dsh/node_modules/@deepseek-ai/dsh-desktop-host/lib/index.js:449-455

args: ["--no-open", "--host", "127.0.0.1", "--port", "0"]

2. cookie 名把端口算进去了 — @deepseek-ai/dsh-client-connection/lib/index.js:335-337

function cookieName(authority) {
    return COOKIE_PREFIX + encodeBase64Url(createHash("sha256").update(authority).digest());
}

authority 就是 127.0.0.1:<port>；:347-350 的 Set-Cookie 带 Max-Age（实测 30 天）、Path=/; HttpOnly; SameSite=Strict。端口每次不同 → cookie 名每次不同 → 不会覆盖旧条目。

3. 启动时把该域全部 cookie 一起发 — resources/app/lib/main.js:20386

welcomeBackend = await connectDesktopWelcome(ready.url, (input, init) => net.fetch(input, init), ...)

connectDesktopWelcome 内部是 send(url, { credentials: "include" })（同文件 :16854）。cookie 的 domain 不区分端口，所以 Chromium 会把 127.0.0.1 下所有 dsh-auth-* 拼进同一个 Cookie 头。

4. 没有任何地方清理 — main.js 全文件无 cookies.remove；clearStorageData（:13192、:18323）只作用于平台登录窗口自己的 partition（userData\Partitions\dsh-platform-*），不涉及 defaultSession。

结论：每次启动 = 127.0.0.1 下多一条约 227 B（含分隔符）的 cookie，30 天后才过期，永不清理。

阈值实测

Host 用 Node http，默认 maxHeaderSize = 16384，超出直接 431。对运行中的 Host 发不同长度 Cookie 头实测：

Cookie 头长度	结果
16200 B	401（已进入路由，认证失败）
16300 B	431

单条 cookie 实测 227 B（name 52 + = 1 + value 173 + 分隔符）。71 条 = 16117 B 仍能过；第 72 条 = 16344 B → 431 → authenticated.ok === false → 抛出上面的 Web authentication failed。

清理前从真实 cookie 库读到的存量：71 条，全部 host_key='127.0.0.1'、全部 dsh-auth-*、71 个互不相同的名字、合计 16117 B，与推断完全吻合。

影响

• 30 天滚动窗口内约 72 次启动后，桌面端彻底无法启动；此时重启无效（431 响应不带 Set-Cookie，罐子既不增长也不减少），只能手工删 cookie 或等过 30 天自然过期。
• 按每天 2–4 次启动，大约数周必现；某天连续重启几次就会当场踩中。
• 与插件无关：崩溃发生在 Host 起来之后、shell 的 welcome 认证请求上，此时还没进入工作区。
• 不是 0.2.2 引入的回归：上一版 app.asar.before-bridge（0.2.1-rc.5）中这两段代码完全一致。

临时处置

完全退出应用后（数据库被独占锁定），对 %APPDATA%\@deepseek-ai\dsh-desktop\Network\Cookies 执行：

DELETE FROM cookies WHERE host_key = '127.0.0.1' AND name LIKE 'dsh-auth-%';
VACUUM;

再启动即恢复。

建议修法（任一即可）

1. 启动时清旧的（最小改动）：在 host.start() 之后、welcome 请求之前，把 defaultSession 里该 host 的 dsh-auth-* 删掉，本次只留一条。
2. cookie 名只按 host 命名（dsh-auth-<hash(host)>），端口继续留在 value 里做校验。代价是同机并发两个实例会互相覆盖，需要额外处理。
3. Desktop host 用固定端口，或缩短 Max-Age，让滚动窗口内的条数低于阈值。

另外，单纯调大 Host 的 maxHeaderSize 只是掩盖症状（jar 无上界），不建议作为唯一修法。

---

环境：DSH Desktop 0.2.2-rc.1（Electron 44.7.0 / Node 24.21.0），Windows 11 build 26300 x64，locale zh-CN。

[renleidedadi]

哈哈！我也遇到同样的问题了，当时我还在用0.2.1-rc.5还以为是旧版才有的问题，结果过来github一看：原来更新到0.2.2-rc.1也会发生这样的问题，然后又在Discussions搜索了一下：发现一大堆用户都来反馈431问题，看来cookie积累到这个时间节点已经达到到“撑爆期”了，接下来就要看看后续的更新会不会修复这个问题了

[mydldlt]

我让dsh在github与官方飞书群都反馈了一遍，应该会处理吧 人类的大敌 ***@***.***> 于2026年11月10日周二 23:28写道：

…

哈哈！我也遇到同样的问题了，当时我还在用0.2.1-rc.5还以为是旧版才有的问题，结果过来github一看：原来更新到0.2.2-rc.1也会发生这样的问题，然后又在Discussions搜索了一下：发现一大堆用户都来反馈431问题，看来cookie积累到这个时间节点已经达到到“撑爆期”了，接下来就要看看后续的更新会不会修复这个问题了 — Reply to this email directly, view it on GitHub <#12649?email_source=notifications&email_token=AE3ECXWCWBVYCE22ASYQXWT5YMXYVA5CNFSNUABIM5UWIORPF5TWS5BNNB2WEL2ENFZWG5LTONUW63SDN5WW2ZLOOQXTCOJVGIZDINRSUZZGKYLTN5XKMYLVORUG64VFMV3GK3TUVRTG633UMVZF6Y3MNFRWW#discussioncomment-19522462>, or unsubscribe <https://github.com/notifications/unsubscribe-auth/AE3ECXUJ5VYKZIPJT2VY43D5YMXYVAVCNFSNUABJKJSXA33TNF2G64TZHMYTGMZTGA3DKMBZGE5UI2LTMN2XG43JN5XDWMJRGI2TKMZSGCQXMAQ> . Triage notifications, keep track of coding agent tasks and review pull requests on the go with GitHub Mobile for iOS <https://github.com/notifications/mobile/ios/AE3ECXU5CXBGKQCQE7IGOWT5YMXYVA5CNFSNUABIM5UWIORPF5TWS5BNNB2WEL2ENFZWG5LTONUW63SDN5WW2ZLOOQXTCOJVGIZDINRSUZZGKYLTN5XKMYLVORUG64VFMV3GK3TUVJTG633UMVZF62LPOM> and Android <https://github.com/notifications/mobile/android/AE3ECXXLDPKVY5G53EG4OCD5YMXYVA5CNFSNUABIM5UWIORPF5TWS5BNNB2WEL2ENFZWG5LTONUW63SDN5WW2ZLOOQXTCOJVGIZDINRSUZZGKYLTN5XKMYLVORUG64VFMV3GK3TUVZTG633UMVZF6YLOMRZG62LE>. Download it today! You are receiving this because you authored the thread.Message ID: <deepseek-ai/deepseek-harness/repo-discussions/12649/comments/19522462@ github.com>