dsh-http-proxy writes bracketed IPv6 [::1] into child process env, crashing httpx-based MCP servers

[FiretrUCK666]

DSH 报告稿：[::1] 写进子进程环境，导致 Python/httpx 客户端启动即崩

用途：报给 DeepSeek Harness（dsh）项目。我这边查证过程与证据都在下面，可直接复制。
关联：basicmachines-co/basic-memory#1541（第三方项目受害方的复现与定性）。

摘要

@deepseek-ai/dsh-http-proxy 会把含方括号的 IPv6 字面量 [::1] 合并进代理绕行列表，
并通过 applyPolicyEnv() 写回 process.env 的 no_proxy / NO_PROXY。
于是 DSH 启动的所有子进程都继承 NO_PROXY=localhost,127.0.0.1,::1,[::1]，
任何用 httpx（0.28.1）解析该变量的 Python 程序在构造默认 client 时直接抛异常退出：

httpx.InvalidURL: Invalid port: ':1]'

受影响场景：basic-memory（MCP server，stdio 启动）、FastEmbed 语义嵌入、Hugging Face
snapshot_download 等。表现为「子进程静默退出、工具不加载」，排查成本极高。

定位（dsh 0.1.5-rc.1）

文件：node_modules/@deepseek-ai/dsh-http-proxy/lib/index.js

// 19-24 行
const LOOPBACK_NO_PROXY = [
	"localhost",
	"127.0.0.1",
	"::1",
	"[::1]"      // ← 这一项会写进子进程环境
];

调用链：

• withLoopback()（149-153 行）把该数组并入策略的 noProxy；
• applyPolicyEnv()（334-347 行）→ writeProxyEnv()（364-375 行）把
  no_proxy / NO_PROXY 两个名字都写入 process.env；
• 之后 DSH 通过 stdio / 子进程启动的任何程序都会继承这个值。

为什么 [::1] 现在可以去掉

它被加进来的理由是 12-18 行注释里那句：「undici 会把裸 ::1 读成 host : port 1，
所以必须同时列 [::1]」。

该理由对未安装的 undici 已经不成立。 本机 undici 8.10.2 的
lib/dispatcher/env-http-proxy-agent.js 明确处理裸 IPv6：

• 120-139 行 #parseNoProxy()：「An IPv6 entry with a port must be bracketed: [::1]:443.
  A bare IPv6 address like ::1 contains colons that must not be confused with a
  host:port separator, so we handle it separately.」
• 65-87 行 #getProxyAgentForUrl()：去掉端口后缀，并把 [::1] 归一成 ::1 再比对。

实测（无网络请求，只判路由，undici 8.10.2 + Node 24.14.0），目标 http://[::1]:7078：

no_proxy 取值	结果
localhost,127.0.0.1,::1	直连（绕过代理）
localhost,127.0.0.1,::1,[::1]	直连（绕过代理）
localhost,127.0.0.1,[::1]	直连（绕过代理）

即：去掉 [::1] 不影响 DSH 自身环回流量绕过代理的设计目标。

复现

# 1) 确认 DSH 子进程继承到的值（在 DSH 里跑任意命令即可）
$env:NO_PROXY      # → localhost,127.0.0.1,::1,[::1]
2) 该值足以让 httpx 构造 client 失败
$env:NO_PROXY = "localhost,127.0.0.1,::1,[::1]"

python -c "import httpx; httpx.Client()"
httpx.InvalidURL: Invalid port: ':1]'
3) 去掉括号项即恢复正常
$env:NO_PROXY = "localhost,127.0.0.1,::1"

python -c "import httpx; httpx.Client(); print('ok')"   # → ok

建议改动

1. 常量去掉 "[::1]"（保留 localhost、127.0.0.1、::1）；
2. 同步更新 12-18 行注释：说明 undici ≥ 8.x 已正确处理裸 IPv6 字面量，
   [::1] 是为旧版 undici 加的兼容项，且会破坏不认括号字面量的 HTTP 客户端
   （httpx、requests/urllib3 生态里部分实现同理）；
3. 如果确有必须同时写入括号形式的场景，可只在交给 undici 的那份里补，
   不要写进 process.env（子进程是共用的）。

建议的替代方案（若上游不愿改常量）

至少不要在 process.env 上留下括号项——例如：

• 环境里只写裸 ::1；
• 需要括号形式的消费者（若还有）由 DSH 内部在读取时补，而不是改全局环境；
• 或提供一个开关/白名单，让宿主声明「我的子进程是 Python 客户端」。

影响面

• 只要宿主机器上存在「代理开着 + 子进程用 httpx」的组合就会复现，与操作系统无关
  （Windows 11 / Python 3.12 / httpx 0.28.1 实测）。
• 排查难度高：MCP 子进程崩溃后 harness 只是静默跳过，日志里往往只有一句
  Invalid port，很容易被误判为模型或网络问题。

---

本机环境（供参考）：Windows 11 10.0.26200；Node v24.14.0；dsh 0.1.5-rc.1；
undici 8.10.2；httpx 0.28.1（basic-memory 0.23.2 内置）。

[PerryLink]

在 master（c291e7961）逐行确认了你报告的机制，结论：属实，且你的方案 3 是最稳的修法。

• 常量确实含括号项：LOOPBACK_NO_PROXY = ['localhost','127.0.0.1','::1','[::1]']（packages/util/http-proxy/src/policy.ts:33）；:25-32 的注释写明保留 [::1] 是给 undici 的——undici 的匹配器会把裸 ::1 读成 host : port 1 从而不豁免。这与你推断完全一致。
• 泄漏路径：withLoopback 把括号项并进 noProxy（:206-211）→ resolveProxyPolicy（:306-326，仅当配置了代理时）→ applyPolicyEnv 双大小写写入 no_proxy/NO_PROXY（install.ts:79-92,113-129）→ 子进程继承 → httpx 严格解析崩溃。
• harness 自己的匹配器不需要括号项：bypassesProxy 会先去掉 URL 端括号再比（:279-295，去括号在 :282），splitHostPort 也能正确拆裸 IPv6（:223-237）。

修复建议（= 你的方案 3）：把 env 写入用的列表与 undici 那份拆开——applyPolicyEnv 路径只写裸 ::1，undici 消费处保留括号项；同时同步改写 policy.ts:25-32 的注释，防止后人再把括号项加回 env。直接删括号项大概率可行（仓库 pin 的是 undici ^8.10.0，http-proxy/package.json:33），但我没在你实测的 8.10.2 上重跑路由（未验证），所以更稳妥的是上面"两处消费者各用各的"拆法。httpx 的严格解析属于第三方行为，正确修复在 env 卫生这一侧。