起因：两件在配置层做不到的事 
我手上有几个中转站，情况大概是：A 必须走代理，B 必须直连（走代理反而被风控），C 是本地网关，绝对不能碰代理。 
Harness 官方的 @deepseek-ai/dsh-http-proxy 是从启动环境和 $DSH_HOME/.env 解析一份策略，装成 undici 的全局 dispatcher。也就是说，代理策略是进程级的。想让不同站走不同路，只能靠 NO_PROXY 打补丁——补丁按地址、不按 Provider，改一次还要重启。 
第二件事更难受。有些中转站（New API / one-api 系）会在网关层挑客户端，请求头里既没有 originator: codex_cli_rs 也没有官方 CLI 的 UA，就直接回： 
json 
{“error”:{“message”:“unauthorized client detected, …”}...