希望为特权 API 方法增加 privilegedTrustedHosts 配置项

[noahziheng]

问题

在反向代理（如 oauth2-proxy）后面部署 dsh 时，特权 API 方法（settings.*、credentials.*、llm.discoverModels 等）即使配置了 --trusted-host 也返回 403。

根因

packages/client/connection/src/index.ts 用空信任列表二次校验，代码如下

&& !isTrustedApiRequest(request, [])

trustedHosts 只放行普通方法。源码注释说明这是有意设计，等待真正的认证层出现。反代部署已经有认证层，但 dsh 没有对应的配置项可以放开。

社区现状

• oitsukiii/deepseek-harness-lan，补丁与本提议一致
• knoka0812/deepseek-harness-deployment-guide
• AcidGr/dsh-web-lan-access
• 讨论 313

提议

新增显式配置项，默认保持现状

• ConnectionConfig.privilegedTrustedHosts，默认 []（loopback-only）
• CLI --privileged-trusted-host <authority...>，可重复
• LAN 自动推导地址不并入特权信任

实现

已完成并测试，见 noahziheng/deepseek-harness@feat/privileged-trusted-hosts

• 43 个测试通过，typecheck 干净
• 认可后可整理为 PR

---

本篇由 AI 编写，内容经过人工核对。

[argszero]

已按 rc.8（141eb6fef8）源码核对，提案形态正确，与信任 fence 的既有设计一致。补充几点安全框架层面的分析（其中一部分与我此前在 讨论 #3210 的反向代理信任模型分析 相关）：

1. 空表二次校验正是设计中的硬编码点。packages/client/connection/src/index.ts:145-149：PRIVILEGED_METHODS.has(method) && !isTrustedApiRequest(request, []) —— 特权集（index.ts:89-119：settings.*/credentials.*/agentPreset.read|copy|openDocument|remove/host.pickDirectory|openPath/llm.discoverModels，你帖中列的与源码一致）以空信任表过 fence，钉死在回环。README 明说 "The fence is a reachability policy, not authentication"。你的提案就是把这一处"策略硬编码"显式化——trustedHosts 已为普通方法扩宽可达性，privilegedTrustedHosts 为特权集扩宽，是同一模型的一致延伸；默认 [] 保持 fail-closed。这也是对社区 ad-hoc 补丁（oitsukiii/deepseek-harness-lan、AcidGr/dsh-web-lan-access、knoka0812/deepseek-harness-deployment-guide、讨论 #313）的原则化统一，方向正确。

2. 安全语义必须写清楚：这是"我担保路径已被认证"，不是"这个 Host 可信"。特权集 = 配置面 + 凭据写面（credentials.set/unset 是凭据写入、settings.update/replace/mutate 是配置覆写、agentPreset.* 管理会话编制、host.openPath 驱动宿主桌面）。我在 #3210 分析过信任 fence 的一个残余缺口：在 Host 透传 反代后面，loopback 分支等价于"远程可打的口令"——攻击者可控 Host 头即可过 fence。privilegedTrustedHosts 会引入第二条入口路径：若部署在 Host 透传反代后，攻击者把 Host 设成配置项值即可免认证触达特权方法，与 loopback 分支同样可伪造。所以该配置的正确语义是 "我担保通往该权威的网络路径已被 dsh 之前的某层认证"（oauth2-proxy 等），且仅在反代会认证并剥离/改写 Host 时才安全。持久修复仍是代理背书身份（如 Tailscale-User-Login 白名单）与 Host fence 做 AND——届时特权集可凭背书身份授权，而非裸 Host。建议在 PR 文档/注释里把这个部署前提写明确，避免误配。

3. "LAN 自动推导地址不并入特权信任"正确且关键。LAN IP 字面量来自服务器配置（全接口监听推导），不是运维对特权面的显式意图；自动并入等于把凭据面静默扩到整网段。保持显式唯一是 fail-closed，值得明示。

4. 校验对齐：privilegedTrustedHosts 条目应复用同一 assertTrustedAuthority 裸权威校验（api-request-trust.ts:41-57、index.ts:136）——畸形条目 loud fail，否则悄悄授权 hostname 前缀（README 已记载此原则）。CLI --privileged-trusted-host 可重复与 --trusted-host 平行，一致。

5. 测试落点：packages/client/connection/tests/api-request-trust.host.spec.ts 已有 fence 回归面，privilegedTrustedHosts 放行/默认 [] 拒止/畸形条目 loud-fail 三类用例补进去即可，与你 43 测试的结构吻合。

实现体量：配置项 + CLI flag + 二次校验参数化 + 测试，PR-ready，支持整理为 PR。