DSH Browser Control 是什么、怎么工作
DSH Browser Control 把 Harness 接到你已经打开的 Chrome 或 Firefox 标签页上。它以单个 workspace 的形式提供两半东西：dsh 这一侧的桥接插件，以及一个 MV3 浏览器扩展，用侧边面板或侧边栏承载对话界面。扩展不是可选项——模型正是经由它触达页面。所以这是一个驱动你自己已登录浏览器的工具，而不是一个自己上网的智能体。
这套设计的用意正在于此。模型工作在你本来就在用的页面里，因此登录状态、会话与 Cookie 都被保留下来：登录墙后面的仪表盘、需要密码的后台、靠 SSO Cookie 才能进的内部工具，全都可以直接用，而不必把凭证导到别的地方去。
按 README 的说法，浏览器操作是纯文本的：页面会被转成结构化文本，附带一份带编号的可交互元素清单，模型按编号指认元素。具体来说，一次快照包含标题、URL、正文、带编号的控件以及表单字段；模型随后针对编号发起点击、输入、按键或滚动，而不是针对坐标。
有三个细节让这套机制可用而不是脆弱：ID 在多次快照之间保持稳定，元素在两次调用之间不会换号；delta: true 的快照只返回变化部分，长流程因此保持廉价；敏感值会被遮蔽。所以「不需要视觉模型」并不是用营销话术替代机制——机制就是这个管线里根本不存在图像。
快照、编号与遮蔽值
模型不只是「读」和「点」，页面交互走的是一套成文的工具集：结构化快照、点击、输入、按键、滚动、区域取文、等待页面稳定，以及导航与前进后退，再加上标签页的列出、跟随与关闭。
有两件事要分清，README 自己也分得很清。浏览器通道从不截图。而 dsh 自身的多模态聊天路径是另一条通路：当宿主声明支持图像时，侧边面板可以接收 PNG、JPEG、WebP 与 GIF 附件，这些走的是 dsh 的持久附件服务。一张被显式附加的聊天图片，与模型如何读取页面毫无关系。
遮蔽是显示层的转换，不是加密。密码与支付卡的值一律渲染为 ••••，按 README 的原话是「never leave the page」，从不离开页面。这个边界说的是什么会进入模型的上下文，也应当只按这个意思去读。
运行要求、安装与启动
运行时的下限写得很明确：workspace 把 dsh 0.1.5-rc.2 钉为最低支持版本，更旧的版本不受支持。公开要求是 Node.js ^22.19 或 >=24、Corepack 或 pnpm，以及 Chrome 116+ 或 Firefox 140+。Windows 另外需要随系统自带的 Windows PowerShell 5.1，或 PowerShell 7+。
标准的插件安装命令装不了这个项目，因为这套集成是「插件 + 扩展」两部分。一行安装脚本目前配置的是 Chrome 构建：macOS 与 Linux 走 scripts/install.sh，Windows 在 PowerShell 里运行 scripts/install.ps1。安装器会下载 main、构建并注册桥接插件、把扩展构建到 ~/.dsh/browser-extension，然后打开 chrome://extensions，由你把这个目录作为「已解压的扩展程序」载入。Windows 上如果从源码检出安装，应改在检出目录里运行 .\scripts\install.ps1。
README 还给了两条操作提示：拉取或切换版本之后，必须重新运行安装器并重新加载扩展；如果 dsh 当时正在运行，安装完要重启它。
托管安装在 ~/.dsh/dsh-browser 下用 pnpm start 启动，源码检出则在仓库根目录运行 pnpm start。README 写明的受支持公开运行时是 npx @deepseek-ai/dsh@0.1.5-rc.2 web。
本地 Chrome 无需额外配置：打开一个页面，点 DeepSeek 鲸鱼图标，等它显示 Connected；已有的 HTTP(S) 标签页会在第一次操作时被注入。Firefox 的路更长一些：它使用另一份 MV3 manifest、事件页后台与侧边栏，必须从源码检出构建，然后通过 about:debugging#/runtime/this-firefox 以「临时载入附加组件」加载。Firefox 的 moz-extension:// UUID 不能为附加组件完成认证，因此要把 ~/.dsh/ext-bridge-token 里的 bearer token 复制到扩展设置里。已签名的分发可以打包同一份 Firefox 产物。
已知限制
第一道限制是受保护页面。在浏览器保护页和扩展商店上，模型可以读取标签页元数据，也可以使用浏览器级的 HTTP(S) 导航、后退、前进与刷新，但无法检查或操作受保护页面的 DOM。也就是说，一个 chrome:// 页面对它而言只有元数据和导航。
标签页控制刻意保守。工作开始时，助手会绑定到当前活动标签页；如果你手动切换了标签页，之后的浏览器操作会暂停，面板会询问是继续在原标签页上工作，还是跟随新标签页。选择原标签页即允许后台运行；README 明确说扩展绝不会静默改换目标，也不会改动你可见的标签页。关闭被控标签页同样会让工具暂停，直到你显式选定当前页面。
第三道限制是审批。点击、输入、按键、导航、历史与刷新调用在你批准之前一律 fail closed；来源可按当前侧边面板会话临时信任，永久信任则在设置里显式管理。一个全局的 Allow unrestricted browser control 选项可以取消这些提示：它只在设置成功保存后才生效，而关闭它会立刻生效。
还有一些事情是来源根本没有说明的，不该被默认假定：除了安装脚本名与 Windows 的 PowerShell 说明之外，没有公布任何操作系统支持矩阵；遥测有或没有，都未描述；README 没有列举扩展请求了哪些权限，也没有说明 dsh-browser 自身除浏览之外还访问哪些网络端点；本次列目所读的 package.json 里不存在 permissions 字段，而它只覆盖 Harness 插件，对扩展 manifest 没有任何说明。
读页面与看页面
纯文本通道的实际后果是：模型依据结构工作，而不是依据外观。文字、链接、按钮、表单字段及其标签与编号都能传递；布局、颜色、图片、canvas 内容以及图表究竟长什么样则不能——管线里根本没有图像可供查看。如果一项任务依赖视觉判断，这条通道就是错的工具，而显式附加一张聊天图片属于另一条路径，并不改变这一点。
第二个后果是风险形态。页面自带的文本会被包成不可信输入，你高亮引用的片段与快照处在同一个不可信边界内进入模型，且连同它由页面控制的来源标题与 URL。默认的 auto 模式只读取被控标签页，不额外询问；ask 每次读取都请求确认，off 则完全禁止读取。读到的页面文本会被发送给所选模型。
什么时候用它、什么时候不要用
当任务需要的正是你已经持有的那个会话时，就用它。需要登录的仪表盘、登录后才能提交的表单、内部工具里的多步流程——这些场景下，一条通向你自己的标签页的桥，胜过任何崭新的浏览器。你也想在能看见的标签页里盯着它干活、并把逐次操作的审批提示当成特性而不是摩擦时，它同样合适。
如果你想的是一个由智能体自己拥有、可以无人值守或无头运行的浏览器，或者运行在一台没装扩展的机器上，那就别选它——没有扩展这里什么也做不了，模型也不会自主上网。任务依赖对渲染效果的视觉判断时也不适用，因为它从不截图。而如果你无法接受页面文本离开浏览器、被送往模型提供方，诚实的选项只有 ask 与 off，或者干脆换一个工具。
来源里的安全姿态
README 的安全章节写得异常具体，值得照引而不是转述：桥接路径位于 /api 信任边界之外，自己执行 bearer token 认证；本地 Chrome 扩展来源保留零配置的 loopback 访问；Firefox 来源是每次安装一个 UUID，必须出示 bearer token；settings.*、credentials.*、host.open* 等特权网关方法会拒绝非 loopback 来源。
没有声明的部分同样重要。这里没有杀毒、沙箱或恶意软件扫描方面的任何保证，也不应推断出这样的保证。遮蔽就是遮蔽，不是加密。无限制控制是一个显式的全局选择加入，而非默认值，而且两种模式下受浏览器保护的页面内容都同样不可访问。请把它当作一条通往已登录浏览器会话的强大桥梁——它确实如此。
FAQ
使用它需要视觉模型吗？
不需要，原因是结构性的。页面会被转换成带编号控件清单的结构化文本，模型按编号指认元素，因此管线里根本不会出现截图。README 明确写着浏览器工具从不截图。
它能在没有扩展的情况下自主上网吗？
不能。每一次页面操作都要经过浏览器扩展，而一行安装脚本配置的是 Chrome 构建，Firefox 还需要自己的源码构建与 token。扩展没有载入并连接成功时，工具没有任何可驱动的对象。
我的密码或卡号会到达模型吗？
README 说密码与支付卡的值从不离开页面，并且始终渲染为 ••••。请把这理解为快照内部的遮蔽，而不是对页面自身数据的加密；同时注意，其他可读的页面文本会被发送给所选模型。
它在受保护页面上具体能做什么？
只有标签页元数据，加上浏览器级的 HTTP(S) 导航、后退、前进与刷新。README 说明受保护的页面 DOM 无法被检查或操作，所以浏览器内部设置页不是模型能读取或点击的对象。
Windows、macOS 与 Linux 上表现一致吗？
README 给的是每类 shell 一个安装器——macOS 与 Linux 用 install.sh，Windows 用 install.ps1——并说明 Windows 路径需要 Windows PowerShell 5.1 或 7+。它没有公布经过测试的操作系统支持矩阵，因此超出这些表述的部分请当作未经验证，而不是受支持。