Ask: 端口转发跨host后工作记录显示缺失

[JularDepick]

环境

• 平台：Windows_x64
• 版本：0.1.0-rc.6

问题描述

我希望在与PC同局域网的其他设备上(手机)访问PC的dsh，尝试使用dsh的参数未果(--host不允许设置0.0.0.0、设置局域网IP又抛出错误)后，设置了nestsh端口转发 192.168.137.1:4090 到 127.0.0.1:3080。

访问发现，本机3080端口页面的工作记录在局域网4090端口未显示（实际上也无法正常使用功能），如下图。

同时，与PC同局域网的其他设备无法正常访问 192.168.137.1:4090。

查看127.0.0.1地址时的浏览器储存发现，dsh会在 localStorage 储存会话信息，端口转发导致的跨域储存隔离，使得工作记录无法被正常读取（仅猜测，也可能是后端校验了请求来源），如下图。

清除这些浏览器储存后，刷新页面能够正常读取工作记录。

这是否属于dsh的安全策略范畴、刻意设计，如果不属于的话，是否是漏洞？ 期望得到答复。

预期

如果这不是bug或属于刻意设计，希望在后续版本中能够提供跨设备访问功能。或许已经有社区插件实现了？恳请指条明路。🙏

[DRAG0NM]

你观察到的"工作记录未显示 + 功能不可用"和端口转发本身无关——是服务端 API 信任围栏在按设计拒绝非 loopback 来源的请求。机制如下：

机制（源码 + 实测）

dsh-client-connection 的 isTrustedApiRequest 对每个 /api 请求做四重检查，其中一条是：Host 不是 loopback（127.0.0.0/8、::1、localhost）且不在 trustedHosts 配置内 → 403（DNS-rebinding 防御）。你的 nestsh 转发把请求以 Host: 192.168.137.1:4090 送达服务端——非 loopback → 全部 /api/* 返回裸 forbidden（403），于是页面拿不到会话/工作记录、任何功能都点不动（本机 3080 的请求是 loopback，所以正常）。

这和 #313（代理/TUN 环境下全部 403）是同一围栏的两种触发面，已在 rc.6 上实测验证（Host: 192.168.x.x 类非 loopback → 403；loopback → 200）。

解决办法

配置 trustedHosts 授权你的转发来源。在 profile patch 里给 client-connection 加一行（authority 形式，精确 host:port 或裸 host 匹配任意端口）：

- id: client-connection
  config:
    trustedHosts:
      - 192.168.137.1:4090

（dsh web --patch <文件> 或写入 cordis.patch.yml；若手机与 PC 直接同网段访问，用 PC 的局域网 IP + dsh 端口。）

两个注意点

1. 你在帖子里提到的 --host 限制与这个围栏是配套设计：loopback 之外的访问必须显式列进 trustedHosts。跨设备访问请只对可信局域网段开启。
2. 特权方法（settings.*、credentials.*、host.pickDirectory、agentPreset.*、llm.discoverModels）即使配了 trustedHosts 仍被钉死在 loopback + 同源——手机端看不到/改不了设置与凭证，属于有意设计（这些面没有鉴权层，只对宿主机开放）。会话浏览、对话、工作记录不受此限。