CC Gateway

CC Gateway 是一个专为 Claude Code 设计的反向代理网关。它的核心使命是夺回你对 AI API 遥测数据的控制权。

在默认状态下，Claude Code 会通过 3 个并行通道、每 5 秒向 Anthropic 发送超过 640 种遥测事件，利用 40+ 个环境维度（CPU、内存、Shell、运行时等）对你的设备进行唯一指纹识别。CC Gateway 介入其中，将所有这些身份特征标准化为一个规范的“虚拟配置文件”，让你在享受 AI 编程便利的同时，彻底保护隐私、避免多设备封号风险，并显著降低 API 成本。

为什么你需要 CC Gateway？

1. 隐私与反指纹识别

• 现状：你的设备 ID、邮箱、OS 版本、物理内存、甚至安装的包管理器都被持续上报。多设备运行会被视为多个独立用户，增加合规风险。
• 解决方案：CC Gateway 将所有客户端的身份重写为同一个规范 ID。无论你在 1 台还是 100 台机器上运行，对 Anthropic 而言，你们都来自同一个“规范设备”。

2. 大幅降低 API 成本

• 现状：每个会话的系统提示包含一个唯一的计费头哈希（x-anthropic-billing-header），导致无法跨会话缓存系统提示，每次对话都要重复付费。
• 解决方案：网关完全剥离该计费头（与官方 CLAUDE_CODE_ATTRIBUTION_HEADER=false 一致），启用跨会话提示缓存共享。
  • 效果：系统提示相关的 Token 成本可降低约 85%。

3. 企业级集中管理

• 零登录客户端：团队成员无需各自登录 OAuth。管理员在网关侧统一管理令牌刷新，分发给团队成员的只是一个轻量级启动脚本。
• 网络隔离：客户端机器永不直接连接 platform.claude.com，所有流量经网关统一出口，便于审计和管控。

核心功能详解

1. 全维度身份重写

网关不仅修改 Header，还深度重写请求体（Body）和系统提示（System Prompt）：

2. 极简客户端体验

• 一键启动：客户端只需运行一个脚本（如 ./cc-alice），无需配置环境变量，无需修改 .zshrc。
• 无缝兼容：支持所有原生 Claude Code 参数（--print, --resume 等）。
• 可选劫持：通过 ccg hijack 命令，可将系统的 claude 命令自动重定向到网关，无感切换。

3. 智能 OAuth 生命周期管理

• 自动刷新：网关在令牌过期前 5 分钟静默刷新，确保持续可用。
• 即时启动：启动时直接使用本地 Keychain 中的有效 Access Token，无需首次网络握手。
• 故障自愈：刷新失败自动重试，仅在 Refresh Token 彻底过期（极罕见）时才需人工干预。

快速开始

本地开发模式 (单用户)

只需一条命令即可完成提取凭据、生成配置和启动网关：

git clone https://github.com/motiful/cc-gateway.git
cd cc-gateway
npm install
bash scripts/quick-setup.sh

使用：在另一个终端运行生成的启动器 ./clients/cc-<hostname> 即可。

团队/多机部署模式

1. 部署网关（可在 Docker 或独立服务器上）：

   bash scripts/admin-setup.sh
   # 交互式提取 OAuth，生成 config.yaml 和第一个客户端脚本
   

2. 添加团队成员：

   bash scripts/add-client.sh alice
   bash scripts/add-client.sh bob
   

   这将生成 cc-alice 和 cc-bob 脚本，分发给对应成员。

3. 成员使用：

   chmod +x cc-alice
   ./cc-alice install  # 可选：安装为系统命令 'ccg'
   ccg                 # 启动 Claude Code (流量经网关)
   

网络增强：Clash 规则 (纵深防御)

为防止 Claude Code 未来更新绕过环境变量直接连回 Anthropic，建议配合 Clash 使用：

rules:
  - DOMAIN-SUFFIX,anthropic.com,REJECT
  - DOMAIN-SUFFIX,claude.com,REJECT
  - DOMAIN,gateway.your-domain.com,DIRECT # 仅允许网关连接

部署架构示例

方案 A：Tailscale 组网 (推荐，零配置)

在所有设备安装 Tailscale，任选一台作为网关服务器。

• 优势：无需公网 IP，无需 TLS 证书，Tailscale 自动加密隧道。
• 命令：bash scripts/add-client.sh alice "" <tailscale-ip>:8443

方案 B：公网/内网服务器 + TLS

在中心服务器部署网关，生成自签名或正式 TLS 证书。

• 优势：适合传统企业内网或公有云部署。
• 注意：需确保所有客户端信任网关证书。

⚠️ 注意事项与局限性

1. MCP 服务器硬编码：mcp-proxy.anthropic.com 是硬编码在客户端中的，不遵循 ANTHROPIC_BASE_URL。如果需要使用官方 MCP 服务，必须通过 Clash 等工具阻止该域名，或使用自定义 MCP 代理。
2. 版本兼容性：Claude Code 更新可能会引入新的遥测字段。建议升级后监控 Clash 的 REJECT 日志，确认无直连泄露。
3. 令牌安全：网关持有主 Refresh Token，请确保网关服务器本身的安全性（防火墙、访问控制）。