Claude Code Login 实现原理与安全实践指南

1次阅读

没有评论

共计 3826 个字符，预计需要花费 10 分钟才能阅读完成。

传统登录方式在当今的 Web 应用中面临诸多挑战。开发者常常需要处理以下问题：

CSRF 攻击风险：传统的 Session-Cookie 机制容易受到跨站请求伪造攻击
会话管理复杂：服务器需要维护大量会话状态，增加了系统复杂性
跨域限制：Cookie 的同源策略限制了现代分布式架构的应用
移动端适配：原生 App 与 Web 应用之间的认证流程不一致

现代认证方式主要有三种主流方案：

Session-Cookie
优点：实现简单，浏览器原生支持
缺点：服务器有状态，难以扩展，存在 CSRF 风险
JWT(无状态 Token)
优点：无状态，适合分布式系统
缺点：Token 撤销困难，存在安全隐患
Claude Code Login(OAuth 2.0 授权码模式)
优点：安全性高，支持细粒度权限控制
缺点：实现复杂度较高

用户点击登录按钮，客户端生成随机 state 参数
重定向到授权端点，携带 client_id、redirect_uri 等参数
用户在授权服务器完成认证
授权服务器返回授权码到 redirect_uri
客户端用授权码换取 access_token
使用 access_token 访问受保护资源

from flask import Flask, redirect, request
import secrets
import requests

app = Flask(__name__)

# 配置信息
CLIENT_ID = 'your_client_id'
CLIENT_SECRET = 'your_client_secret'
REDIRECT_URI = 'https://yourdomain.com/callback'
AUTHORIZATION_ENDPOINT = 'https://auth.server/authorize'
TOKEN_ENDPOINT = 'https://auth.server/token'

@app.route('/login')
def login():
    # 生成随机 state 防止 CSRF
    state = secrets.token_urlsafe(16)
    # 存储 state 用于后续验证
    session['oauth_state'] = state

    # 构建授权请求 URL
    auth_url = f"{AUTHORIZATION_ENDPOINT}?response_type=code&client_id={CLIENT_ID}&redirect_uri={REDIRECT_URI}&state={state}&scope=openid profile"

    return redirect(auth_url)

@app.route('/callback')
def callback():
    # 验证 state 参数
    if request.args.get('state') != session.get('oauth_state'):
        return "Invalid state parameter", 400

    # 获取授权码
    code = request.args.get('code')

    # 换取 access token
    token_response = requests.post(
        TOKEN_ENDPOINT,
        data={
            'grant_type': 'authorization_code',
            'code': code,
            'redirect_uri': REDIRECT_URI,
            'client_id': CLIENT_ID,
            'client_secret': CLIENT_SECRET
        }
    )

    # 处理 token 响应
    token_data = token_response.json()
    access_token = token_data['access_token']
    refresh_token = token_data.get('refresh_token')

    # 使用 access_token 获取用户信息
    # ...

    return "Login successful"

const express = require('express');
const crypto = require('crypto');
const axios = require('axios');

const app = express();

// 配置信息
const CLIENT_ID = 'your_client_id';
const CLIENT_SECRET = 'your_client_secret';
const REDIRECT_URI = 'https://yourdomain.com/callback';
const AUTHORIZATION_ENDPOINT = 'https://auth.server/authorize';
const TOKEN_ENDPOINT = 'https://auth.server/token';

app.get('/login', (req, res) => {
    // 生成随机 state
    const state = crypto.randomBytes(16).toString('hex');

    // 存储 state
    req.session.oauthState = state;

    // 构建授权 URL
    const authUrl = new URL(AUTHORIZATION_ENDPOINT);
    authUrl.searchParams.append('response_type', 'code');
    authUrl.searchParams.append('client_id', CLIENT_ID);
    authUrl.searchParams.append('redirect_uri', REDIRECT_URI);
    authUrl.searchParams.append('state', state);
    authUrl.searchParams.append('scope', 'openid profile');

    res.redirect(authUrl.toString());
});

app.get('/callback', async (req, res) => {
    // 验证 state
    if (req.query.state !== req.session.oauthState) {return res.status(400).send('Invalid state parameter');
    }

    // 获取授权码
    const code = req.query.code;

    try {
        // 换取 access token
        const tokenResponse = await axios.post(TOKEN_ENDPOINT, {
            grant_type: 'authorization_code',
            code,
            redirect_uri: REDIRECT_URI,
            client_id: CLIENT_ID,
            client_secret: CLIENT_SECRET
        });

        const {access_token, refresh_token} = tokenResponse.data;

        // 使用 access_token 获取用户信息
        // ...

        res.send('Login successful');
    } catch (error) {console.error('Token exchange failed:', error);
        res.status(500).send('Authentication failed');
    }
});

Proof Key for Code Exchange (PKCE) 是 OAuth 2.0 的安全扩展，用于原生 App 和 SPA 应用。实现步骤：