Claude Code 登录实战指南：从零搭建到生产环境避坑

1次阅读

共计 2815 个字符，预计需要花费 8 分钟才能阅读完成。

在当今的互联网应用中，第三方登录已经成为提升用户转化率的重要手段。据统计，集成第三方登录的应用其注册转化率平均提升 30% 以上。而 Claude Code 登录作为新兴的第三方登录方案，其特有的权限作用域 (scope) 配置让很多开发者感到困惑。

scope 配置难点 ：Claude Code 要求精确控制每个 API 的访问权限，比如user:read 和user:write需要分开申请
多平台兼容：移动端、Web 端和服务端的 scope 配置策略各不相同
权限升级：用户在使用过程中如何动态申请更高权限

OAuth2.0 提供了多种授权模式，我们需要根据场景选择最合适的方案。

授权码模式(Authorization Code)：
最安全的模式，适合有后端的 Web 应用
通过中间授权码交换 token，token 不会暴露给前端
支持 refresh token 实现长期授权
隐式模式(Implicit)：
适合纯前端应用
token 直接返回给前端
安全性较低，不支持 refresh token

登录 Claude Code 开发者平台
创建新应用，获取 client_id 和client_secret
配置授权回调域名（Callback URL），必须与后续请求完全匹配

sequenceDiagram
    participant 用户
    participant 前端
    participant 后端
    participant Claude

    用户 ->> 前端: 点击登录按钮
    前端 ->>Claude: 跳转授权页面(带 client_id)
    Claude->> 用户: 显示授权确认
    用户 ->>Claude: 确认授权
    Claude->> 前端: 重定向到 callback?code=xxx
    前端 ->> 后端: 发送授权码
    后端 ->>Claude: 用 code 交换 token
    Claude->> 后端: 返回 access_token
    后端 ->>Claude: 获取用户信息
    Claude->> 后端: 返回用户数据
    后端 ->> 前端: 返回登录结果

const axios = require('axios');
const jwt = require('jsonwebtoken');

// WARNING: 生产环境必须保护 client_secret
const CLIENT_ID = 'your_client_id';
const CLIENT_SECRET = 'your_client_secret';
const REDIRECT_URI = 'https://yourdomain.com/callback';

async function getToken(authorizationCode) {
  try {
    const response = await axios.post('https://api.claude.com/oauth/token', {
      code: authorizationCode,
      client_id: CLIENT_ID,
      client_secret: CLIENT_SECRET,
      redirect_uri: REDIRECT_URI,
      grant_type: 'authorization_code'
    }, {headers: { 'Content-Type': 'application/json'},
      timeout: 5000 // 设置超时
    });

    // 验证 JWT 签名
    const decoded = jwt.verify(response.data.id_token, PUBLIC_KEY, {algorithms: ['RS256']
    });

    return {
      accessToken: response.data.access_token,
      refreshToken: response.data.refresh_token,
      expiresIn: response.data.expires_in,
      userInfo: decoded
    };
  } catch (error) {
    // 错误重试逻辑
    if (error.response && error.response.status >= 500) {return getToken(authorizationCode); // 简单重试
    }
    throw error;
  }
}

import aiohttp
import jwt

async def fetch_user_info(access_token: str):
    # WARNING: 必须验证 JWT 签名防止伪造
    async with aiohttp.ClientSession() as session:
        async with session.get(
            'https://api.claude.com/userinfo',
            headers={'Authorization': f'Bearer {access_token}'}
        ) as resp:
            user_data = await resp.json()

            # 验证签名
            try:
                decoded = jwt.decode(user_data['id_token'],
                    key=PUBLIC_KEY,
                    algorithms=['RS256']
                )
                return decoded
            except jwt.InvalidSignatureError:
                raise Exception('Invalid token signature')