为什么DSH对LAN口'0.0.0.0'的监听要做如此严格的限制

[suenca]

试过各种方法都无法做到长期稳定的完美代理。

nginx反代最简单也最行不通，完全访问不了。
socat也不行，特权接口全访问不了。
各种插件一升级就全失效。
直接改源码更不行，容易失效不说还很难回退。
ssh还没试，但似乎也无法获得完全访问。

能折腾到这一步的我觉得没有计算机小白了吧，有必要加这么多限制吗，我甚至怀疑DSH完全没有考虑过远程访问和局域网访问。

后端容器隔离加前端basic密钥还不够的话那开放trust host、trust proxy、trust port、trust origin等等都可以啊，我都愿意一个一个改。

我对出于安全的考虑表示理解，但是还请给开发者一个选择。DSH能通过Nginx反代并在服务器24小时运行对我来说真的很重要。

[springsky1]

又第三方插件可以使用 pocket 试一下

[PerryLink]

直接回答：限制确实存在，但它只拦 --host 0.0.0.0 这个字面量；拦截理由在报错文本里写得很直白——这个端口背后的能力是“在本机执行命令”，对局域网直接开放等于暴露远程代码执行面。官方目前文档化的远程访问路径是 SSH 本地转发，而不是反代。

证据（HEAD = v0.1.6-alpha.2）：

• 拦截点：packages/bundle/web-app/src/startup.ts:74-76——if (options.host === '0.0.0.0') { program.error('error: --host 0.0.0.0 is intentionally not supported yet for safety: it would expose remote code execution to the network; use 127.0.0.1 instead') }。注意它只做字面量精确匹配。
• 但底层不是没有能力：webserver 的 schema 本来就支持两种绑定（packages/host/webserver/src/index.ts:59-61 host: '127.0.0.1' | '0.0.0.0'）；web-app 的 LAN 信任机制也已就位（packages/bundle/web-app/src/index.ts:125-132 resolveLanTrust——绑全接口时自动把本机非内网回环 IPv4 字面量纳入信任围栏，另有 --trusted-host 参数）；web-app/cordis.patch.yml:134-142 把 --host/--port 注入 webserver 行，默认 127.0.0.1:3080。
• 认证模型：启动令牌换签名 cookie。packages/client/connection/src/browser-auth.ts:223-229 令牌以 ?token= 形式出现在 URL 里；:240-266 校验成功后按 authority 签发签名 cookie，其余请求 401。令牌会出现在 URL/日志/代理链路里，这是通配符绑定要配套解决的关键问题之一。另外非回环 Host 还要过 /api 信任围栏（packages/client/connection/src/api-request-trust.ts:103 附近），这正是你的反代总“访问不了”的常见原因。
• 文档化的远程访问方式：apps/cli/reference/README.zh.md:100——SSH 环境下跳过浏览器拉起、宿主机 URL 照常打印，本地转发地址由 SSH 客户端持有。这是目前受支持的路径；nginx/socat 反代不在其列，所以你遇到的令牌、Host 信任、websocket 升级问题都属于未覆盖场景。

给部署者的现状说明：目前没有受支持的一键开关。schema 只接受 127.0.0.1 / 0.0.0.0 两个值（webserver/src/index.ts:60-61），所以即使绕过 startup 的字面量检查，绑具体 LAN IP 也会卡在 schema 校验；改源码确实如你所说“升级就失效”。报错文本里有个 “not supported yet”，但我不代表官方，不能承诺这条路何时放开，只能确认机制现状。可靠的过渡方案是 SSH 端口转发（如 ssh -L 3080:127.0.0.1:3080 user@host），把认证与信任围栏留在本机边界内。

如果你愿意把 nginx 反代时的具体现象贴出来（是 401、信任围栏拒绝，还是 websocket 升级失败），可以帮你定位到底卡在哪一层。