DSH Connect Qoder

把本机已登录的 Qoder 模型接入 DeepSeek Harness， 零配置即可在 DSH 的模型选择器里使用你的 Qoder 账号额度。

国内版 Qoder CN 与国际版 Qoder 是两个并行的 provider（qoder-cn / qoder）， 装哪个就出现哪一组模型，两个都装就两组并存，各自使用自己的账号与额度。

工作原理

DSH PiAiAdapter（每个区域一套）
  -> 安全 loopback shim（随机端口 + 进程内随机 secret）
  -> COSY 签名 + 自定义 base64 编码
  -> 国内版 https://gateway.qoder.com.cn/
  -> 国际版 https://api3.qoder.sh/
  -> Qoder 双层包装 SSE
  -> OpenAI SSE
  -> DSH 本地执行工具并回传结果

Qoder 不是 OpenAI 兼容端点，所以需要三样东西：

1. COSY 签名头 —— 每个网关请求都带 Cosy-* 头与 Authorization: Bearer COSY.<payload>.<sig>， 签名是对 base64 负载、RSA 包装的 AES 密钥、时间戳、请求体与签名路径做 MD5。
2. 置换 base64 请求体 —— 查询串里的 Encode=1 表示 JSON 体要先 base64、再按换过的字母表 逐字符替换、最后按三分之一旋转。
3. 双层 SSE —— 每个 data: 帧是一个信封对象，它的 body 字段本身又是 JSON 字符串， 里面才是 OpenAI 风格的 chunk。

凭据来源

插件复用 Qoder 桌面应用自己的登录状态，不启动额外的 OAuth 流程，也不写入应用的文件 （数据库以只读方式打开）。

Qoder 把登录信息放在 VS Code 风格的 state.vscdb 里，密文是 Chromium OSCrypt 格式 （v10 + nonce + 密文 + tag，AES-256-GCM）。解密用的密钥保存在应用的 Local State 中， 由操作系统 keystore 包裹 —— Windows 上是当前用户作用域的 DPAPI，因此同一用户下的进程都能解开它。 Node 没有内置 DPAPI 绑定，这一步交给 PowerShell，并通过临时文件交换结果（不使用管道）， 这样在禁止管道 stdio 的沙箱里同样可用。

没有桌面应用登录时，可以用官方文档的 PAT 兜底：设置 QODERCN_PAT（国内版）或 QODER_PAT（国际版），插件会用它换取 job token。

安装

从 DSH 市场安装（推荐给 DSH 桌面用户）

在 DSH 的「插件市场」里粘贴这个源：

github:hdhgsysh/dsh-connect-qoder

或本地开发模式：

dsh plugin --profile web add <本仓库路径>

安装后需要重启 DSH 进程：bundle 的 patch 在启动时读取。

凭据安全

插件不存储任何凭据：

• 复用本机已登录的 Qoder 桌面应用的本地数据库（只读打开，临时副本在 os.tmpdir()）， 关闭后立即删除。
• 进程内随机 bearer token 绑定 loopback 端口；Qoder 真实的 RSA 包装 key 与 session key 不会离开本插件的沙箱。

已知行为

• 始终思考的模型：部分模型（如 GLM-5.3-Flash、Kimi-K3）声明了推理档位但不允许关闭思考， 对它们发送 enable_thinking: false 会被上游以 provider_error 1210 拒绝。插件从模型目录 识别这类模型并完全省略该字段，让模型使用自己的默认档位。
• 上游错误可见：上游失败时返回的是普通 200 帧里的错误对象，而不是 chunk。插件把它翻译成 一条可读的错误，而不是让用户看到一个空的助手回合。
• 国际版额度：国际版的试用额度可能已用尽（isQuotaExceeded），此时目录请求会返回 403 Login expired，该区域就不会显示模型；国内版不受影响。
• 依赖 Qoder 客户端接口（非官方开放 API），Qoder 更新后插件可能需要随之调整。

目录

免责声明

仅供个人学习研究使用，仅驱动使用者自己的 Qoder 账号在本机调用。使用者需遵守 Qoder 的服务条款， 因使用本项目产生的后果由使用者自行承担。本项目与 Qoder、DeepSeek 均无关联。

许可证

MIT