【Bug】无法绑定非 127.0.0.1 的 IP 地址

[seamile]

本来想让 dsh web 绑定 Tailscale 的 IP 地址，方便自己不在电脑身边的时候远程控制 DSH，结果报错了：

报错详情

file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/dsh-app-boot/lib/index.js:1186
                throw new Error(`${binName}: ${stage}: ${detail}${stack}`, { cause });
                      ^

Error: dsh: plugin tree failed to load: failed to apply loader entry include (cordis:include): failed to apply loader entry webserver (@deepseek-ai/dsh-host-webserver): invalid config:
  - $.host expected "127.0.0.1" | "0.0.0.0" but got "100.90.80.70" (at host)
ValidationError: invalid config:
  - $.host expected "127.0.0.1" | "0.0.0.0" but got "100.90.80.70" (at host)
    at resolveConfig (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/cordis/lib/index.js:959:27)
    at Fiber._resolveConfig (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/cordis/lib/index.js:1346:25)
    at Fiber._reload (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/cordis/lib/index.js:1354:24)
    at boot (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/dsh-app-boot/lib/index.js:1186:9)
    at async runProfile (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/dsh/lib/profile-boot-DG5t9aNs.js:247:14)
    at async file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/dsh/lib/bin.js:133:3 {
  [cause]: Error: failed to apply loader entry include (cordis:include): failed to apply loader entry webserver (@deepseek-ai/dsh-host-webserver): invalid config:
    - $.host expected "127.0.0.1" | "0.0.0.0" but got "100.90.80.70" (at host)
      at updateError (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/cordis-plugin-loader/lib/index.js:299:9)
      at Entry._init (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/cordis-plugin-loader/lib/index.js:519:10)
      at async Entry.init (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/cordis-plugin-loader/lib/index.js:495:4)
      at async Entry.update (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/cordis-plugin-loader/lib/index.js:416:37)
      at async EntryGroup.create (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/cordis-plugin-loader/lib/index.js:55:4)
      at async Proxy.create (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/cordis-plugin-loader/lib/index.js:217:14)
      at async mountRootInclude (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/dsh-app-boot/lib/index.js:984:20)
      at async boot (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/dsh-app-boot/lib/index.js:1175:3)
      at async runProfile (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/dsh/lib/profile-boot-DG5t9aNs.js:247:14)
      at async file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/dsh/lib/bin.js:133:3 {
    [cause]: Error: failed to apply loader entry webserver (@deepseek-ai/dsh-host-webserver): invalid config:
      - $.host expected "127.0.0.1" | "0.0.0.0" but got "100.90.80.70" (at host)
        at updateError (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/cordis-plugin-loader/lib/index.js:299:9)
        at Entry._await (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/cordis-plugin-loader/lib/index.js:506:10)
        at async Entry.init (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/cordis-plugin-loader/lib/index.js:500:3)
        at async Entry.update (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/cordis-plugin-loader/lib/index.js:416:37)
        at async EntryGroup.create (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/cordis-plugin-loader/lib/index.js:55:4)
        at async Promise.allSettled (index 92)
        at async EntryGroup.update (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/cordis-plugin-loader/lib/index.js:87:21)
        at async Include._apply (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/dsh-app-boot/lib/index.js:238:3) {
      [cause]: ValidationError: invalid config:
        - $.host expected "127.0.0.1" | "0.0.0.0" but got "100.90.80.70" (at host)
          at resolveConfig (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/cordis/lib/index.js:959:27)
          at Fiber._resolveConfig (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/cordis/lib/index.js:1346:25)
          at Fiber._reload (file:///Users/seamile/.bun/install/global/node_modules/@deepseek-ai/cordis/lib/index.js:1354:24)
    }
  }
}

Node.js v26.5.1

在报错信息中看到了这句：

$.host expected "127.0.0.1" | "0.0.0.0" but got "100.90.80.70" (at host)

于是又改成了 0.0.0.0，结果直接提示不安全：

error: --host 0.0.0.0 is intentionally not supported yet for safety: it would expose remote code execution to the network; use 127.0.0.1 instead

然后就准备改改源码，提个 PR，结果发现 PR 没开放，只能提到这里了 😂

现在能想到的办法就是把它塞进 docker 里，然后把项目目录挂进去，只是有点折腾。
还是希望诸位大佬能尽快修复。
🌹🌹🌹

[denial123789]

这不是底层 listen() 偶发失败，而是当前 CLI 有意拒绝 --host 0.0.0.0。

在当前源码 47f9438 中：

• packages/bundle/web-app/src/startup.ts:70 会直接以用法错误退出，错误文本明确说明这是为了避免把远程代码执行面暴露到网络；
• apps/cli/tests/built-bin.e2e.ts:342-349 把这个行为锁成了发布产物的 E2E 契约；
• 底层 dsh-host-webserver 的配置类型确实允许 127.0.0.1 | 0.0.0.0，但文档同时说明它目前没有 TLS、认证或 Origin policy。因此“底层能绑定”和“官方 Web CLI 允许直接开放”是两个不同层次。

--trusted-host 也不是监听开关；它只给 /api 浏览器信任围栏增加允许的 authority，不能让服务改绑到非 loopback。

如果只是从另一台机器访问，当前更安全的做法是保持 DSH 监听 127.0.0.1:3080，使用 SSH 本地端口转发：

ssh -N -L 3080:127.0.0.1:3080 user@dsh-host

然后在客户端打开 http://127.0.0.1:3080。这样不会把未经认证的 Web/API 面直接暴露到局域网或公网。

所以这个讨论更准确的结论应当是“当前产品明确不支持非 loopback 暴露”，而不是绑定 Bug。若官方未来要支持，至少需要把认证、TLS/可信反代边界、Origin/Host 校验和远程工具权限一起设计，不能只移除这一行拒绝逻辑。

[seamile]

让 dsh 自己打了个补丁，已经解决了 ✌️

[seamile]

本来也没想开在 0.0.0.0 上，报错是因为设置 --host=100.90.80.70 导致的。
我是为了在手机上访问 dsh，用 ssh、nc、nginx、docker 这类东西中转一下都可以，但就是不想套一层啊。
如果担心安全，那至少让我绑定个内网地址啊。