dsh-cas

DeepSeek Harness (dsh) 插件：实现 CAS SSO 单点登录，并按登录用户隔离会话归属。

宿主半（Node）注册 /cas/* 自控路由，影子接管 /api/<method> 做登录态校验与会话过滤，并向 index.html 注入登录遮罩；浏览器半（Web）提供登录遮罩与管理员 CAS 配置面板。

功能

• CAS 单点登录：CAS 2.0 协议（/login、/validate、/logout），支持单端点 serverUrl 与按客户端 IP 匹配的多端点 endpoints 表（% 通配）。
• 登录态管理：HMAC-SHA256 无状态票据存于 HttpOnly Cookie，服务端维护吊销表，支持按用户批量登出；票据带 jti，登出即失效。
• 会话隔离（enforce: true 时）：
  • 影子化 /api/session.*、subagent.*、workspace.* 等 28 个方法，未登录拒绝、越权访问拒绝；
  • session.create 成功后登记会话归属（会话本身无 owner 字段，归属记在 ~/.dsh/cas.yaml）；
  • session.list / session.search / workspace.list 结果按归属过滤；
  • 实时事件流（/api/events.mux、/api/events.host，SSE + WebSocket 升级）逐帧按归属过滤，防止他人新建会话出现在侧边栏；子代理会话借父会话归属自动认领；
  • settings.*、credentials.*、host.*、agentPreset.* 等内置管理员专属方法，普通用户不可调用。
• 管理员配置：登录后可在设置页保存/测试 CAS 连接配置（服务器地址、路径、srcsys、管理员用户名、证书校验开关），页面配置优先于 profile 配置。

安装

本插件是独立 dsh 插件包（非 harness 内置）。将本目录作为 link: 依赖安装到 web profile：

npx @deepseek-ai/dsh plugin --profile web add <本插件目录>
# 重启宿主后生效（插件集在启动时扫描）

配置

在宿主 profile 的插件 patch（本插件经 cordis.patch.yml 注册为条目 id: cas）上写 config：

- id: cas
  name: dsh-cas
  config:
    cas:
      serverUrl: "http://sso.example.com"
      loginPath: "/login"
      validatePath: "/validate"
      logoutPath: "/logout"
      servicePath: "/cas/callback"
      srcsys: "dsh"
      tlsRejectUnauthorized: true
      adminUsernames: ["admin1", "admin2"]
      endpoints:            # 可选：按客户端 IP 匹配多端点，首个匹配生效
        - ipPattern: "10.251.%"
          serverUrl: "http://sso-internal.example.com"
    auth:
      sessionTtlSeconds: 43200
      cookieName: "dsh_cas_user"
      cookieSameSite: "lax"
      unownedSessions: "admin"   # admin | everyone | none
      adminOnlyMethods: []       # 额外限定管理员的 /api 方法
    enforce: true

dsh 0.1.7 起：插件配置不再读 ~/.dsh/settings.yaml（该文件已被宿主删除并把各段并入对应条目），也不再走 ctx.settings.register() 命名空间。旧的 settings.yaml 会由宿主自动改名成 settings.yaml.imported 并把 cas: 段并入条目 cas。更简单的做法是直接在 DSH 控制台 → 设置 → 插件 → dsh-cas 里填——Config 的三个顶层字段都标了 .volatile()，会生成表单且保存后热生效（本插件监听 loader/volatile-update 重装路由，cookie 与归属索引不受影响）。也可用 --dump-config 看当前 profile 的实际条目。

config 经 schemastery Config 校验（src/config.ts）后由 readCasSettings() 解包成普通值使用。管理员在页面 CAS 配置面板保存的设置会落盘到 $DSH_HOME/cas.yaml（store.ts），页面配置优先于条目 config。

必填项：cas.serverUrl 或 cas.endpoints 至少其一。管理员角色由 cas.adminUsernames 中的 CAS 用户名（不区分大小写）映射得到。

环境变量

变量	说明
DSH_HOME	数据根目录（缺省 ~/.dsh），状态文件位于 $DSH_HOME/cas.yaml
DSH_SESSION_SECRET	登录态签名密钥；不设置时进程启动随机生成（重启后需重新登录）

路由

自控路由（/cas/*）

方法	路径	说明
GET	/cas/login	302 到 CAS 登录页（支持 ?redirect= 回跳记忆）
GET	/cas/callback	CAS 回跳：验证 ticket → 签发本地会话 cookie
POST	/cas/logout	吊销当前票据并登出；?skipCas=true 可跳过 CAS 服务器登出
GET	/cas/me	当前登录态（未登录 401）
GET/POST	/cas/connection	查看/保存 CAS 配置（保存需管理员）
POST	/cas/connection/test	测试 CAS 连接（需管理员）
GET	/cas/login.html	独立登录中转页

影子路由（/api/*，enforce: true 时）

以 exact 方式接管 session.*、subagent.*、workspace.*、settings.*、credentials.*、host.*、agentPreset.*、events.mux、events.host 等方法（清单见 src/gate.ts 的 METHOD_RULES）。未列出的方法直接放行，harness 新增方法不会因插件没跟上而整体不可用。

开发

npm install
npm run build      # tsc 编译 → lib/，并给 lib/client.js 包上浏览器 bundle 外壳
npm run typecheck  # tsc --noEmit
npm test           # node scripts/smoke.mjs && node scripts/integration.mjs

• scripts/smoke.mjs：CAS URL 构建、IP 模式匹配、ticket 解析、登录态票据、归属索引的运行时烟测。
• scripts/integration.mjs：假 CAS 服务器 + 最小 cordis 上下文驱动真实插件的端到端测试（登录 → 回调 → 隔离 → 登出 → 配置管理）。

目录结构

src/
  index.ts         宿主半入口：路由注册、遮罩注入、吊销表清扫
  cas.ts           CAS 客户端：登录/登出 URL、IP 端点匹配、ticket 验证（CAS 2.0）
  auth.ts          登录态票据（HMAC-SHA256）、吊销表、Cookie 工具
  config.ts        配置 Schema（schemastery）、默认值、校验、DSH_HOME 解析
  gate.ts          /api 影子路由：鉴权 + 会话归属过滤 + 响应改写 + SSE 代理
  events-ws.ts     WebSocket 升级拦截与事件流包装（实时帧逐帧过滤）
  http.ts          /cas/* 自控路由
  session-lookup.ts 登录态查询最小依赖（gate / http 共用）
  store.ts         状态落盘：页面保存的 CAS 配置 + 会话归属索引
  types.ts         共享类型
  client.ts        浏览器半：登录遮罩 + 管理员 CAS 配置面板
lib/               构建产物（勿手改）
scripts/
  wrap-client.mjs  给 lib/client.js 包上闭包工厂外壳
  smoke.mjs        运行时烟测
  integration.mjs  端到端装配测试
cordis.patch.yml   profile 层 patch：把插件注册进配置树

许可

Apache-2.0