v1.2.1
安全
- CSRF 防护：所有 POST 写操作（saveKey / saveConfig / refresh / test / webhook）校验
Origin，跨站请求返回 4031 拦截；curl 等本机客户端不受影响——封堵恶意网页篡改 baseURL 导致 API Key 外泄的链路
- saveKey 如实反馈：Key 已写入凭证库但验证失败时返回真实原因（如 401），前端红色提示并保留输入；成功才显示「已保存并通过验证」
正确性 / 性能
- 提取
hudData() 消除 ds/hud 双份实现漂移（budget 字段两通道一致）
keyFacts() 加 10s 缓存（HUD 2s 轮询不再每次打 credentials 服务），saveKey 后立即失效STATE.daily 裁剪到最近 400 天，持久化文件不再无限膨胀readBody 超 1MB 销毁连接后补 close 监听，请求不再挂死- client
rpc() 未知方法给出明确报错
清理
- 删除无调用方的 RPC 遗留（handlers / invoke / touch）
- 删除仓库根目录已分叉的旧源码副本，
composition/ 为唯一事实来源
安装
dsh plugin --profile web add github:whisperflo/dsh-deepseek-console
