[Bug] dsh-http-proxy 把 undici 专用的 [::1] 写进通用 NO_PROXY，Python httpx 等非 Node 子进程直接构不出 client

[chaos-03x]

摘要

@deepseek-ai/dsh-http-proxy 把 undici 专用的方括号写法 [::1] 混进了标准 NO_PROXY/no_proxy 环境变量。该变量会被 applyPolicyEnv() 写进 process.env，因此每个被 spawn 的子进程都会继承。非 Node 的 HTTP 客户端（Python httpx / requests）无法解析 [::1]，只要构造 HTTP client 就抛异常。

DSH 加入 [::1] 是为了修 undici 自身的解析缺陷，但把该缺陷转嫁给了其它语言的客户端。

环境

项	值
DSH	0.1.7-rc.2（打包版 NEXT 2.0.15-next）
系统	macOS，Intel
代理	Clash Verge，系统代理 127.0.0.1:7897
受害客户端	Python 3.13.13 + httpx 0.28.1（uv 管理的 venv）

问题代码

packages/util/http-proxy/src/policy.ts:33

export const LOOPBACK_NO_PROXY: readonly string[] = ['localhost', '127.0.0.1', '::1', '[::1]']

注释（同文件 L28-32）说明了 [::1] 的动机：

::1 and [::1] are both listed because the resolved string is also handed to undici, whose matcher reads a bare ::1 as host : port 1 and therefore never bypasses it.

传播路径：

1. policy.ts withLoopback()（L200 附近）把 LOOPBACK_NO_PROXY 并进 policy 的 noProxy
2. install.ts applyPolicyEnv()（打包版 lib/index.js:334）调用 writeProxyEnv()，逐名写入 process.env
3. 其 JSDoc 明说覆盖面：

Publish a policy through the proxy environment variables, which is how the consumers that read an environment rather than a policy object — node:http's proxyEnv and every spawned child — see the one resolved answer, including the ALL_PROXY fallback and the merged loopback bypass that neither derives on its own.

观测到的值

NO_PROXY=100.122.107.27,192.168.10.32,198.18.0.1,.local,localhost,127.0.0.1,::1,[::1]
no_proxy=100.122.107.27,192.168.10.32,198.18.0.1,.local,localhost,127.0.0.1,::1,[::1]

逐段对应：

段	来源
100.122.107.27,192.168.10.32,198.18.0.1	该机器的 LAN 字面量（trustedHosts）
.local	硬编码
localhost,127.0.0.1,::1,[::1]	LOOPBACK_NO_PROXY

大小写成对出现（http_proxy+HTTP_PROXY 等）也符合 POLICY_ENV_NAMES 的"both casings are always written or cleared together"。

触发条件（buildDesktopProxyOverlay）：未显式导出 proxy，且系统代理探测返回非 DIRECT。因此与启动方式无关（Finder / 终端 / 任何 shell 都一样），因为系统代理是机器级设置。

复现

最小复现（Python + httpx）

import httpx
httpx.Client()

在子进程里分别设置 NO_PROXY 后的实测结果：

FAIL NO_PROXY='[::1]'                          -> InvalidURL: Invalid port: ':1]'
OK   NO_PROXY='::1'
FAIL NO_PROXY='localhost,127.0.0.1,::1,[::1]'  -> InvalidURL: Invalid port: ':1]'
OK   NO_PROXY=''

即：只有带方括号的那一项失败；裸 ::1 与空值都正常。

真实测试套件（uv + pytest）

一个 1669 用例的单元测试套件，用继承 DSH 环境的 shell 运行：

$ uv run pytest tests/unit -q
32 failed, 62 passed, 26 errors     # 仅受影响的 7 个文件

清掉方括号后，同一批文件：

$ NO_PROXY="localhost,127.0.0.1,::1,.local" uv run pytest <同样 7 个文件> -q
101 passed

受影响文件的失败点全部是构造 HTTP client，与代理连通性无关——httpx.Client() 在解析环境变量阶段就抛异常，请求根本没发出。

影响

• 任何在 DSH 会话里用 bash 工具跑 Python 测试的人都会中招，且报错信息（Invalid port: ':1]'）完全不指向根因
• 同样影响 requests（同源 urllib 语义）、可能影响其它按 host:port 解析 bypass 项的非 Node 客户端
• 纯 Node 侧不受影响；undici 反而需要 [::1]

说明

• 未在本报告中确认其它语言客户端的表现，仅列出可能同样受影响。

[OMSociety]

补一条版本证据：这个 bug 在当前 release 上仍然复现（dsh-v0.2.0-rc.2，2026-09-29 发布）。

环境：Windows 桌面版 0.2.0-rc.2、httpx 0.28.1、CPython 3.13.15。

复现（构造期即抛，与目标服务无关）：

$ python -c "import os,httpx;print([v for k,v in os.environ.items() if k.lower()=='no_proxy']);httpx.AsyncClient()"
['localhost,127.0.0.1,::1,<模型端点>,...,[::1]']
Traceback (most recent call last):
  File "httpx/_client.py", line 1413, in __init__
    URLPattern(key): None
  File "httpx/_utils.py", line 172, in __init__
    url = URL(pattern)
  File "httpx/_urlparse.py", line 411, in normalize_port
httpx.InvalidURL: Invalid port: ':1]'

三点可与 #6098 互证（在另一台机器、另一个 SDK 上撞到）：

1. 方括号项是 harness 追加的，不是用户环境里的：~/.dsh/.env 里 NO_PROXY=localhost,127.0.0.1,::1,... 没有 [::1]；注册表 no_proxy 的 User / Machine 两个作用域都是空的。这与 applyPolicyEnv 在第一个插件挂载前写 process.env 一致，属纯进程级注入。
2. 上游仍未变：policy.ts 的 LOOPBACK_NO_PROXY = ['localhost','127.0.0.1','::1','[::1]']，文件最后一次改动是 2026-09-02 的 93bba8ef6，同一常量在 tag dsh-v0.2.0-rc.2 上逐字相同。因此 dsh-http-proxy writes bracketed IPv6 [::1] into child process env, crashing httpx-based MCP servers #6655 关闭之后并无伴随代码修复，rc.2 仍在带病发布。
3. 受害面是「按 URL authority 语法解析 NO_PROXY 条目」的客户端，httpx 是典型。本次先在 sciverse SDK 上撞到，第一现场报错就是这条 InvalidURL，很容易被误读成服务端问题；openai / anthropic 等同样默认 trust_env=True 的 SDK 同款崩法。

修法上有一点值得强调（#6098 里 argszero 已论证，我复核了常量与导出路径，未重跑他那张 Node undici 版本矩阵）：方括号不能直接删。Node 自带的 undici（Node 26.5.0 内为 8.7.0）只会按 entry.match(/^(.+):(\d+)$/) 拆，裸 ::1 被读成 host ":" port 1 而失去豁免，[::1] 唯一的载荷点就是「子进程里 Node 原生 fetch 读环境变量」这条通道。可行方向是按消费者分流（env 只写裸 ::1、undici 那份保留方括号），或等 Node 提升捆绑的 undici。

工具侧目前只能各自绕行（本进程内丢掉含方括号的条目，或 httpx.AsyncClient(trust_env=False)），这是下游兜底，不算修复。