dsh-web-fetch-allowlist

中文 | English

DeepSeek Harness 内置的 web_fetch 会拒绝解析到内网、保留地址段的域名，防止 SSRF 攻击。但这也会导致有内网/透明代理需求的场景下请求失败。 内置插件无法关闭、也无法配置，因此本插件提供一个白名单补丁，支持额外放行一段 CIDR（默认 Clash/mihomo 的 fake-IP 段 198.18.0.0/15），其余行为全部沿用内置实现。

安装

Plugins → Add plugin，填入：

https://github.com/icceey/dsh-web-fetch-allowlist

或：

dsh plugin --profile <profile> add github:icceey/dsh-web-fetch-allowlist

管理器提示 restart-required 时重启或重新启用。

行为

• 先走内置 provider 的解析与校验；只有它抛 WEB_BLOCKED_URL 时，才尝试白名单。
• 命中就返回地址；不命中就把原来的错误原样抛出，错误码不变。
• 超时、大小上限、重定向、代理、NAT64、字符集等全部由内置实现处理，本插件仅在必要时介入和放行白名单。
• 内置 provider 不存在，或 DSH 升级后内部结构变化时，本插件保持安静、什么都不做。

配置

如果你是用clash/mihomo且没有调整过fakeip配置，安装后就可以使用，应该不需要调整任何配置。

- id: web-fetch-allowlist
  name: 'dsh-web-fetch-allowlist'
  config:
    allowCidrs:
      - '198.18.0.0/15'

allowCidrs 支持 IPv4/IPv6，设置后替换默认值；无配置时读 DSH_WEB_FETCH_ALLOW_CIDRS（逗号分隔）。