本项目当前是未发布的 public Beta 候选。这里描述的是插件与开发者兼容层已经实现的安全边界，不代表 stock DSH 已正式兼容，也不构成对任意服务器环境的安全认证。

安全模型包含三个独立主体：运行 UI 的浏览器或 Desktop Renderer、运行插件的 DSH Host，以及通过 SSH 访问的远端服务器。

• DSH Host 是 SSH 凭据、连接配置、known_hosts、远程 helper 与执行监督器的信任边界。Desktop 和 Web UI 都不能把浏览器所在机器当成 Host。
• 远端服务器及其 SSH 服务端处于 Host 边界之外。插件固定主机公钥指纹，但不能证明服务器自身没有被入侵。
• Agent 输出、远端命令输出、服务器文件名和文件内容均视为不可信数据，不得用作控制帧或静止证明。
• DSH Host 本机管理员能够读取 Host 账户可访问的数据，因此不在“防止本机管理员取证”的威胁模型内。

• 只支持系统 SSH Agent 或 DSH Host 上的私钥文件；密码、键盘交互认证和在 UI 中提交口令均不受支持。
• 私钥内容不进入 Renderer、HTTP 响应、连接配置、剪贴板或日志。连接配置只保存 Host 上的密钥绝对路径引用。
• 自动生成的 ED25519 私钥只写入 Host 的插件数据目录。Windows 使用受保护 ACL，POSIX 使用目录 0700 和文件 0600；权限无法严格验证时失败关闭。
• 加密私钥必须预先加载到 SSH Agent。插件不会保存解密口令，也不会自动把公钥写入服务器的 authorized_keys。
• 不要在 issue、聊天、浏览器表单或故障报告中粘贴私钥、服务器密码、解密口令、SSH Agent 转发材料或完整凭据文件。

首次配置必须检测并由用户确认 SHA256: 主机指纹。插件随后通过隔离的 known_hosts 数据严格核对目标主机；主机、端口、用户名或指纹变化会使旧工作区绑定失效。

主机指纹只说明本次连接使用了被确认的 SSH 主机密钥。确认前应通过云厂商控制台、服务器本地控制台或另一条可信通道独立核对指纹，不应只信任首次网络扫描结果。

• 连接管理、密钥生成、目录与文件 API 只接受直接 loopback 请求，并执行同源/Origin 防护。
• Web 端的 SSH 由运行 DSH Web Host 的机器发起；浏览器中的本地路径不是 Host 的密钥路径。
• 非 loopback Web 管理被禁用。反向代理头和 DSH trustedHosts 不是插件身份认证，不能绕过该限制。
• 需要远程使用 Web UI 时，应先通过可信 SSH 本地端口转发访问 Host 的 loopback 监听；不得直接暴露管理 API。

• 建议使用权限受限的普通服务器用户。用户名为 root 时，连接表单要求不可跳过的独立风险确认；这不会放宽指纹、认证或目录限制。
• 每个连接至少配置一个 allowedRoots。服务器端对目标执行 realpath 后再校验，阻止 .. 和符号链接越界。
• /root 与文件系统根目录 / 属于高风险工作区，必须针对当前服务器身份和规范化路径逐次确认。选择 / 等同于把该 SSH 用户可访问的整台服务器文件系统交给 Agent。
• 远程工作区按结构化 target 路由。provider 缺失、断联、API 版本不匹配或 SSH 身份变化时失败关闭，不得回落为 Host 本机路径或本地命令。
• 文件写入携带内容版本；检测到并发变化时拒绝覆盖。

普通远程命令由 Linux subreaper、独立进程组和固定 SSH 控制通道监督。终止流程为 TERM → grace → KILL，并在 Host 返回成功前独立扫描远端 /proc，确认父进程 identity 已消失且进程组和 session 都已静止。

插件在首次 spawn 前持久化 cleanup fence。Host 强杀、断电、SSH 传输异常、监督器异常或任何无法证明静止的状态都会失败关闭，并保留 fence，阻止身份修改或连接删除。只有管理员在服务器侧独立确认残留进程已经清理后，才可在退出 DSH 后备份并按运维流程移除 fence；远端输出、旧 control 文件或 SSH 退出码不能替代该确认。

• 报告问题前删除或替换真实主机名、IP、用户名、本机绝对路径、公钥注释、主机指纹、连接 ID、工作区 ID 和命令输出中的敏感业务数据。
• 示例地址使用 RFC 5737 保留段，例如 203.0.113.10；路径使用 <dsh-home>、<identity-file> 等占位符。
• 公钥通常不是秘密，但仍可能泄露账户关联信息；除非排障确有必要，否则也应省略或截断。
• cleanup fence、安装回执和连接配置可能包含服务器身份与本机路径。不要原样上传。

公开仓库与安全报告渠道尚未确定。在仓库 URL 和维护者安全联系方式确认前，请不要创建包含秘密或可利用细节的公开 issue。发布前必须补充一个可验证的私密报告渠道、响应负责人和披露流程；本文件不虚构邮箱或外部 URL。