Claude Code 怎么登录、在哪里用、哪些功能要订阅：登录方式、凭据先后、各个入口和功能可用性

这篇解决三个问题：

Claude Code 有几种登录方式？机器上同时有好几个凭据时，它用哪一个？
命令行、桌面应用、编辑器、网页、手机，各适合做什么？
哪些功能和登录方式绑在一起？ 用 API key、云厂商或者网关的时候会少什么？

这篇以整理官方文档为主。只有第二节（凭据的先后）和第五节里的一条拒绝信息是本站在服务器上跑出来的，做法是开一个空的配置目录，放进去的都是假凭据，不发模型请求。

实测的部分
日期	2026-10-13
版本	Claude Code 2.1.296，Linux 服务器
做法	用 `CLAUDE_CONFIG_DIR` 指到一个空目录，环境变量里放假的 key 和令牌，跑 `claude auth status` 看它选了哪一个

一、五种登录方式

装好之后在终端里运行 claude，第一次启动会打开浏览器让你登录。能用的账号有五类：

账号	怎么登录	适合谁
Claude Pro 或 Max 订阅	用 claude.ai 账号登录	个人
Claude Team 或 Enterprise	用团队管理员邀请的那个 claude.ai 账号登录	大多数团队，官方推荐
Claude Console	用 Console 账号登录，管理员要先邀请你	想按 API 用量付费的组织
云厂商	设好环境变量再运行 `claude`，不用浏览器登录	已经在用 Amazon Bedrock、Google Cloud 的 Agent Platform 或 Microsoft Foundry 的组织
自建网关	在 `/login` 里用公司的单点登录	部署了 Claude apps gateway 的组织

登录时的几个细节

浏览器没有自动打开，按 c 把登录网址复制出来，自己贴到浏览器里。
登录之后浏览器显示一串登录码，没有跳回终端，就把它贴到终端里的 Paste code here if prompted 那一行。在 WSL2、SSH 会话和容器里常见，因为浏览器连不上 Claude Code 在本机开的回调地址。
环境里设了 ANTHROPIC_API_KEY，并且你在 Claude Code 询问时同意用它，就不会再出现登录提示。
退出并重新登录，在提示框里输入 /logout。它同时会把首次启动的设置状态清掉，下次运行要重新走一遍。

凭据存在哪里

系统	位置
macOS	钥匙串，加密保存。钥匙串写不进去时（比如 SSH 会话里它是锁着的），改存到下面 Linux 的那个文件
Linux	`~/.claude/.credentials.json`，权限 `0600`
Windows	用户目录下的 `.claude\.credentials.json`，沿用用户目录的访问控制

这个文件由 /login 和 /logout 管，不要手改。想让请求走别的接口地址，设环境变量 ANTHROPIC_BASE_URL，不是改这个文件。

同时登录几个账号

想让工作账号和个人账号同时保持登录，给每个账号一个单独的配置目录，启动时用 CLAUDE_CONFIG_DIR 指过去。每个目录有自己的设置、会话历史和登录。可以加一个别名：

alias claude-work='CLAUDE_CONFIG_DIR=~/.claude-work claude'

实测。 服务器上的默认配置目录是能正常发请求的。换到一个新的空目录再发：

CLAUDE_CONFIG_DIR=~/demo/h33-auth/cfg claude -p "只回复 ok"

Not logged in · Please run /login

退出码 1。原来那个目录里的登录在这里不起作用，两个目录确实是分开的。跑完之后，新目录里多出了 .claude.json、projects/、sessions/ 这些它自己的文件。

文档提到一个例外：用 Console 账号、不建 API key 的那种登录存在配置目录外面，分目录隔不开。

给 CI 用的长期令牌

没有浏览器的环境，比如 CI 和脚本，用 claude setup-token 生成一个有效期一年的令牌：

claude setup-token

它走和 /login 一样的浏览器授权，授权之后把令牌打印在终端里，不会替你保存。把它设成环境变量 CLAUDE_CODE_OAUTH_TOKEN，在要用的地方带上。

三点限制：

要有 Pro、Max、Team 或 Enterprise 订阅。
这个令牌只能发模型请求，不能建 Remote Control 会话，也拿不到 claude.ai 上的连接器。本地配的 MCP 服务器不受影响。
--bare 模式不读它。脚本里用了 --bare，要改用 ANTHROPIC_API_KEY 或者 apiKeyHelper。

登录快到期时

用 /login 建的登录离到期还有三天时，启动会看到一行提醒：

Your login expires in 3 days · run /login to renew

这只是提醒，不拦请求。真到期又续不上之后，每次请求都会失败，直到重新登录。对无人值守的会话影响最大：后台跑着的会话过了登录的有效期就停在那里，自己恢复不了。

团队怎么选

方式	特点
Claude Team	自助开通，有协作功能、管理工具、单点登录、统一下发设置。适合小一些的团队
Claude Enterprise	在 Team 之上多了域名接管、按角色分权限、合规接口。适合有安全合规要求的大组织
Claude Console	按 API 用量付费。邀请成员时给 Claude Code 角色（只能建 Claude Code 用的 key）或 Developer 角色（能建任意 key）
自建网关	用公司的身份系统登录，请求转到你配置的云厂商
云厂商	把环境变量和取云凭据的办法发给成员

管理员可以用托管设置限制登录方式：forceLoginMethod 指定方式，forceLoginOrgUUID 要求 claude.ai 登录属于指定的组织，allowedProviders 限定这台机器可以通过哪些服务用 Claude。设了前两项之后，用 ANTHROPIC_API_KEY、ANTHROPIC_AUTH_TOKEN 或 apiKeyHelper 提供凭据的会话在启动时就会被拦下。 公司的电脑上环境变量不起作用，先看看是不是这个原因。

二、几个凭据同时在，用哪一个（实测）

官方的顺序

机器上同时有几种凭据时，Claude Code 按这个顺序取第一个：

云厂商的凭据：设了 CLAUDE_CODE_USE_BEDROCK、CLAUDE_CODE_USE_VERTEX 或 CLAUDE_CODE_USE_FOUNDRY 的时候。
环境变量 ANTHROPIC_AUTH_TOKEN。作为 Authorization: Bearer 请求头发出去，给用令牌认证的网关和代理用。
环境变量 ANTHROPIC_API_KEY。作为 X-Api-Key 请求头发出去，直连 Anthropic API 时用。
apiKeyHelper 脚本的输出。给会轮换的凭据用，比如从密钥库里取的短期令牌。
环境变量 CLAUDE_CODE_OAUTH_TOKEN，就是上面 claude setup-token 生成的那种。
Anthropic 的 profile 和联合身份凭据（ant 命令行和 Workload Identity Federation 用的那一套）。
/login 得到的订阅登录。Pro、Max、Team、Enterprise 用户默认是这个。

登录了自建的 Claude apps gateway 的会话不在这个列表里，它排在所有这些前面。

怎么看它选了哪一个

会话里用 /status。会话外面用 claude auth status，它只在本地看一眼，实测不到一秒就返回，输出里只有凭据的来源名字，没有凭据的内容：

claude auth status

没有任何凭据时，退出码是 1：

{
  "loggedIn": false,
  "authMethod": "none",
  "apiProvider": "firstParty",
  "analyticsDisabled": false,
  "projectsDirectory": "/home/ccdemo/demo/h33-auth/cfg/projects",
  "configDirectory": "/home/ccdemo/demo/h33-auth/cfg"
}

默认输出 JSON，加 --text 输出成几行文字。脚本里可以直接用退出码判断有没有登录。

实测的九种组合

下面每一行都是在空配置目录里，只设这一行写的变量，再跑 claude auth status。值都是假的。

设了什么	`authMethod`	`apiKeySource`	和官方顺序对不对得上
什么都没有	`none`	没有这一项
`ANTHROPIC_API_KEY`	`api_key`	`ANTHROPIC_API_KEY`
`ANTHROPIC_AUTH_TOKEN`	`oauth_token`	没有这一项
上面两个都设	`oauth_token`	`ANTHROPIC_API_KEY`	对得上：第 2 条赢过第 3 条
`CLAUDE_CODE_OAUTH_TOKEN`	`oauth_token`	没有这一项
`ANTHROPIC_API_KEY` 加 `CLAUDE_CODE_OAUTH_TOKEN`	`api_key`	`ANTHROPIC_API_KEY`	对得上：第 3 条赢过第 5 条
只有 `apiKeyHelper`	`api_key_helper`	`apiKeyHelper`
`apiKeyHelper` 加 `CLAUDE_CODE_OAUTH_TOKEN`	`api_key_helper`	`apiKeyHelper`	对得上：第 4 条赢过第 5 条
`apiKeyHelper` 加 `ANTHROPIC_API_KEY`	`api_key_helper`	`ANTHROPIC_API_KEY`	两项对不上，见下面

选了云厂商时，输出是另一个样子。只设 CLAUDE_CODE_USE_BEDROCK=1：

{
  "loggedIn": true,
  "authMethod": "third_party",
  "apiProvider": "bedrock",
  "analyticsDisabled": true,
  "projectsDirectory": "/home/ccdemo/demo/h33-auth/cfg/projects",
  "configDirectory": "/home/ccdemo/demo/h33-auth/cfg"
}

换成 CLAUDE_CODE_USE_VERTEX 和 CLAUDE_CODE_USE_FOUNDRY，apiProvider 分别是 vertex 和 foundry。同时再设一个 ANTHROPIC_AUTH_TOKEN，--text 的输出里仍然只有云厂商：

API provider: Amazon Bedrock
AWS region: us-east-1 (default — set AWS_REGION or add a region to your AWS config)

这和官方顺序的第 1 条一致。

三处要留意

一、ANTHROPIC_AUTH_TOKEN 显示成 oauth_token。 它和 CLAUDE_CODE_OAUTH_TOKEN 在 JSON 输出里是同一个值，分不出来。要分清，用 --text：

Auth token: ANTHROPIC_AUTH_TOKEN
Anthropic base URL: https://gateway.example.test

二、设了 ANTHROPIC_BASE_URL，apiProvider 还是 firstParty。 实测把接口地址指到一个别的域名，JSON 里这一项没有变。所以不能靠它判断请求是不是发给了 Anthropic，要看 --text 里的 Anthropic base URL 那一行，或者会话里的 /status。

三、apiKeyHelper 和 ANTHROPIC_API_KEY 同时在的时候，输出的两项互相对不上。 authMethod 说是 api_key_helper，apiKeySource 说是 ANTHROPIC_API_KEY。按官方的顺序，环境变量排在脚本前面。单看这条输出，判断不了实际发请求时用的是哪一个，这次也没有再往下测。两个同时配着的话，留一个。

最常见的一种情况

有订阅，环境里又留着一个 ANTHROPIC_API_KEY：你同意用这个 key 之后，Claude Code 用的就是它，不是订阅。如果这个 key 属于一个停用了的组织，请求会报认证失败；key 是好的，费用就记在 API 账户上，订阅的额度没有用到。

想回到订阅，执行 unset ANTHROPIC_API_KEY，再用 /status 确认。登录和 API key 都配着的时候，/status 会标出没在用的那一个。交互式会话里第一次遇到这个 key 会问你用不用，答案会记住，之后想改，在 /config 里找 Use custom API key 这个开关。

这些环境变量在哪里不起作用

apiKeyHelper、ANTHROPIC_API_KEY、ANTHROPIC_AUTH_TOKEN 对命令行和包着命令行的几个入口有效：VS Code 扩展、Agent SDK、GitHub Actions。

桌面应用和云端会话不读它们。 云端会话始终用订阅的凭据，在云端环境里设 ANTHROPIC_API_KEY 也盖不过去。桌面应用用 OAuth 登录，要接第三方的接口得走它自己的那套配置。

三、在哪里用：六个入口

各个入口用的是同一套引擎，只是为不同的工作方式调过。

入口	适合什么	有什么
命令行	终端里干活、写脚本、远程服务器	功能最全，Agent SDK，能接第三方供应商
桌面应用	看着改动审、同时开几个会话	改动查看器、应用预览，Pro 和 Max 上有电脑操作和 Dispatch
VS Code	不想离开编辑器	行内的改动对比、集成终端、文件上下文
JetBrains	在 IntelliJ、PyCharm、WebStorm 等里面用	改动查看器、选区共享、终端会话
网页	不用怎么盯的长任务，或者断线之后还要继续的活	跑在云端，默认由 Anthropic 托管，断开之后继续
手机	不在电脑前时发起和查看任务	从 Claude 应用开云端会话，用 Remote Control 接本地会话

几条要点：

命令行是最全的。 写脚本和 Agent SDK 只有命令行有。
第三方供应商在命令行、VS Code 和 JetBrains 里都能用（JetBrains 是在 IDE 的终端里跑命令行）。桌面应用要走它自己的网关配置或企业部署。
可以混着用。 设置、项目记忆和 MCP 服务器在本地的几个入口之间是共用的。

不知道从哪开始，就装命令行，在项目目录里运行。不想用终端，桌面应用是同一套引擎加了图形界面。三个图形入口怎么装、差在哪，见《在 VS Code、JetBrains 和桌面应用里用》。

接外部的工具

集成	做什么	用来
Chrome	用你登录着的浏览器操作网页	测网页应用、填表单
GitHub Actions	在 CI 里跑 Claude	自动审 PR、分拣 issue、定期维护
GitLab CI/CD	同上，给 GitLab
Code Review	自动审每一个 PR	在人审之前先抓 bug
Slack	在频道里回应 `@Claude`，用的是你自己的账号	把聊天里的 bug 报告变成 PR（Pro 和 Max）
Claude Tag	以组织共用的身份运行 `@Claude`，权限由管理员配	团队共用（Team 和 Enterprise）

这里没有的，用 MCP 服务器和连接器接。本站写过的几篇：Chrome 做前端联调、GitHub Actions、PR 的代码审查。

不在终端前的时候

方式	怎么触发	Claude 跑在哪	适合
Dispatch	在手机应用里发一个任务	你的电脑（桌面应用）	人不在时交代一件事，配置最少
Remote Control	从 claude.ai/code 或手机应用接管一个正在跑的会话	你的电脑	换一台设备继续盯手上的活
Channels	聊天应用或你自己的服务器推事件进来	你的电脑（命令行）	对外部事件做反应，比如 CI 失败
Slack	在团队频道里 `@Claude`	Anthropic 的云端	从团队聊天里出 PR 和审查
自托管环境	开云端会话时选组织自己的环境	组织自己的机器	云端会话必须跑在内网里
定时任务	设一个时间表	命令行、桌面应用或云端	重复的自动化，比如每天审一次

对应的文章：Remote Control 和手机、Channels、云端会话。

四、网关

网关是什么

网关是组织自己架在 Claude Code 和模型供应商之间的一层代理。Claude Code 把请求发给网关，网关用组织手里的凭据转给供应商。这样登录、用量统计、预算和审计都集中在一处。

里面有两种凭据：

开发者凭据：每人一个，由网关发。用来向网关证明身份，也用来在统计里区分是谁。
供应商凭据：网关手里拿着一个，所有转发的请求共用。

两类网关

	Claude apps gateway	其他网关
是什么	Anthropic 自己的自建网关，包含在 `claude` 这个程序里	组织已经在用的 LLM 网关或 API 网关
上游	Amazon Bedrock、Claude Platform on AWS、Google Cloud、Microsoft Foundry 或 Anthropic API	看网关怎么配
登录	在 `/login` 里用公司的身份系统	一般是设 `ANTHROPIC_BASE_URL` 加 `ANTHROPIC_AUTH_TOKEN`
跟版本	和每一版 Claude Code 一起测，新的请求头和字段不用额外处理	转发规则要自己跟着 Claude Code 的版本更新
官方的态度	官方提供	不背书、不维护、不审计；不支持通过任何网关把 Claude Code 接到非 Claude 的模型上

Claude apps gateway 的登录是浏览器里的单点登录，没有给服务用的令牌。没有人在场批准登录的 CI 流水线用不了它，那种场景直接配供应商。

订阅和网关

通过网关、用网关发的凭据连接时，费用按 API 价格记在组织的供应商账户上，个人的 claude.ai 订阅不会被用到，也不会被扣。给自己的网关设了 ANTHROPIC_AUTH_TOKEN，这个会话里订阅登录就不起作用了。

有一个例外：只设 ANTHROPIC_BASE_URL，不设网关的凭据。请求仍然经过网关，但生效的凭据还是保存着的 claude.ai 登录，用的是订阅的额度和计费。

网关不管的几件事

用哪个模型。 模型用 /model 或环境变量选，见《Claude Code 的模型怎么设》。网关决定请求发到哪，不决定开发者选哪个模型。
别的网络流量。 版本检查和下载是 Claude Code 直接连 Anthropic 的，不走网关。网络要放行这些域名，或者用一个环境变量把可选的流量关掉，变量名见《Claude Code 的网络和数据》。
公司的 HTTP 代理。 HTTPS_PROXY 夹在 Claude Code 和它连的每一台服务器之间，包括网关。网络要求走代理的话，代理和网关要分别配。

中转站算哪一类

国内常说的中转站，从 Claude Code 这一头看，接法和上面“其他网关”那一类相同：设一个接口地址，加一个令牌。所以有两点同样成立：设了令牌之后订阅登录不再起作用，费用由中转站那边计；“网关不管的事”那几条也照旧。怎么接，见《Claude Code 接入中转站》；接上之后哪些功能和直连不一样，本站逐项测过，见《通过中转站用 Claude Code》。

五、功能可用性

先找到自己是哪一列

你怎么认证	算哪一种
用 claude.ai 账号登录（Pro、Max、Team、Enterprise）	Claude 订阅
用 Anthropic 的 API key，或者不建 key 登录 Console 账号	Anthropic Console
设了 `CLAUDE_CODE_USE_BEDROCK`	Amazon Bedrock
在 AWS Marketplace 买的 Claude、调的是 Anthropic API，设了 `CLAUDE_CODE_USE_ANTHROPIC_AWS`	Claude Platform on AWS
设了 `CLAUDE_CODE_USE_VERTEX`	Google Cloud 的 Agent Platform
设了 `CLAUDE_CODE_USE_FOUNDRY`	Microsoft Foundry

哪种方式都有的

命令行和所有在本地跑的东西，在每一种供应商上都能用：

命令行和 Agent SDK
VS Code 和 JetBrains 扩展
子代理、hooks、命令、skills
CLAUDE.md 记忆、插件、MCP 服务器
检查点、沙箱、工作流
OpenTelemetry 指标和本机的托管设置文件

其中有几处随供应商不同：

MCP：claude.ai 上的连接器只在订阅登录是当前凭据时加载。ANTHROPIC_BASE_URL 指向非官方的主机时，工具搜索默认是关的。
命令：/voice 要 claude.ai 账号。/design-sync 和 /import 在几家云厂商和 Claude apps gateway 上用不了。

要用 claude.ai 账号登录才有的

下面这些用 Console 的 API key 够不着，第三方供应商也够不着：

云端会话，手机上的 Claude Code
Slack 里的 Claude Code（Pro 和 Max）
桌面应用
Routines（/schedule）
Ultrareview
Code Review（Team 和 Enterprise）
Remote Control
Chrome 扩展
电脑操作（Pro 和 Max）
Artifacts
语音输入

桌面应用是半个例外：可以在应用里或者由管理员配网关，企业部署可以接到云厂商。

实测其中一条。 在空配置目录里分别试了三种情况：没有凭据、只有一个 API key、有令牌和网关地址。运行 claude remote-control，三次的输出相同，退出码都是 1：

Error: You must be logged in to use Remote Control.

Remote Control is only available with claude.ai subscriptions. Run `claude auth login` to sign in with your claude.ai account.

命令行里随供应商不同的

这些功能在本地的命令行里，但要靠服务端的一项能力，不是每家都提供。

功能	订阅	Console	Bedrock	Claude Platform on AWS	Agent Platform	Foundry
网页搜索	✓	✓	✗	✓	看模型	✓
快速模式	✓（Team 和 Enterprise 要 Owner 开启）	✓（开通了的组织）	✗	✗	✗	✗
auto 模式	✓	✓	看模型	✓	看模型	看模型
Advisor	✓	✓	✗	✗	✗	✗
跨会话消息	✓	只在同一台机器	只在同一台机器	只在同一台机器	只在同一台机器	只在同一台机器
Channels	✓	✓	✗	✗	✗	✗
GitHub Actions	✓	✓	✓	✗	✓	✓
GitLab CI/CD	✓	✓	✓	✓	✓	✗

“看模型”的两处：Agent Platform 上的网页搜索要 Opus 4、Sonnet 4、Haiku 4.5 及之后的模型；云厂商上的 auto 模式只支持 Sonnet 5 及之后、Opus 4.7 及之后、Haiku 5.5 和 Fable 系列。

管理和统计：

功能	订阅	Console	四家云上的
用量看板和接口	看板要 Team 或 Enterprise，接口要 Enterprise	✓	✗
服务器下发的托管设置	Team 和 Enterprise	在 claude.ai 组织里配的到不了用 API key 的会话	✗
零数据留存	符合条件的 Enterprise 账户	符合条件的账户	Claude Platform on AWS 同左，其余三家看你和云厂商的协议

走网关或中转站时

文档的说法是两层：

功能可用性跟着网关背后的供应商走。 网关转给 Anthropic API，就按 Console 那一列看；转给 Bedrock，就按 Bedrock 那一列。
有些功能是 Claude Code 自己关掉的，和网关转发什么没有关系。 只要 ANTHROPIC_BASE_URL 指向的不是 api.anthropic.com，Remote Control、服务器下发的托管设置这些就关了。

另外，Advisor 这类只有 Anthropic 有的功能，要网关把请求原样转给 Anthropic API 才能用。

通过中转站用 Claude Code 的读者，可以这样估计：要 claude.ai 登录的那一整组都没有；本地的功能都在；随供应商不同的那一组，要看中转站背后接的是什么、转发得全不全，这一部分只能实测，本站测过的结果在《通过中转站用 Claude Code》。

没有的功能，用什么替

没有	可以改用
`/schedule`（Routines）	`/loop`
云端会话	GitHub Actions 或 GitLab CI/CD
网页搜索	WebFetch 工具，给它一个具体的网址

订阅套餐之间的差别

用 claude.ai 账号登录时，套餐决定下面这些功能有没有。用云厂商或 Console 的 API key 认证的，这张表不适用。

功能	Pro	Max	Team	Enterprise
云端会话	✓	✓	✓	✓
Routines	✓	✓	✓	✓
Remote Control	✓	✓	管理员开启	管理员开启
Channels	✓	✓	管理员开启	管理员开启
电脑操作	✓	✓	✗	✗
Dispatch	✓	✓	✗	✗
Code Review	✗	✗	✓	✓
Artifacts	✓	✓	✓	✓
用量看板和贡献指标	✗	✗	✓	✓
企业用量接口	✗	✗	✗	✓
服务器下发的托管设置	✗	✗	✓	✓
单点登录	✗	✗	✓	✓
SCIM	✗	✗	✗	✓
合规接口	✗	✗	✗	✓
零数据留存	✗	✗	✗	符合条件的账户

有两处反过来的：电脑操作和 Dispatch 只有个人套餐有，Code Review 只有团队套餐有。

视觉、PDF 输入、扩展思考是模型的能力，不是 Claude Code 的功能，供应商提供这个模型就能用。

这篇没有实测的

真实的登录流程没有走。 实测环境没有 claude.ai 账号，浏览器登录、claude setup-token、登录到期的提醒、/logout 都是照文档写的。
凭据的先后只看了 claude auth status 的输出，用的是假凭据，没有用它们发请求。第 6 条（profile 和联合身份）和第 7 条（订阅登录）没有测。
macOS 的钥匙串和 Windows 的凭据文件没有测，只在 Linux 上看过。
第三到第五节的表格整理自文档，除了 Remote Control 那一条拒绝信息。各个入口、套餐和云厂商上的实际表现没有逐个验证。
Claude apps gateway 没有部署过。
只在一个版本上看过。 功能可用性变得快，以官方那一页的最新内容为准。