用 Claude Code 写代码，常常卡在最前面那道坎：终端里跑 claude 或 /login，浏览器弹出来让你登录，结果要么转圈半天回不到终端、要么提示 OAuth 超时、要么粘贴回去报 Invalid code，要么登进去直接 403 Please run /login，再要么干脆在 WSL/SSH 里浏览器压根收不到回调。这篇把登录与 OAuth 这一类报错逐个拆开，讲清楚怎么干净重登、凭据缓存在哪、什么时候该改用 API key 绕过浏览器登录，以及无图形界面的服务器怎么完成授权。下面所有机制以 Anthropic 官方帮助文档当前说明为准，会不会一次过和你的网络、账号状态有关，不打包票。
据 Anthropic 帮助中心说明，第一次跑 claude 时，Claude Code 会在本机起一个临时的本地回调服务，然后打开浏览器让你用 Claude.ai 账号（Pro / Max / Team / Enterprise）或 Console 账号授权。你在网页点同意后，浏览器把一个临时授权码回传给本机这个回调端口，终端拿到码、换成长期凭据，登录就算完成。
理解这条链路很关键，因为大部分报错都卡在某一环：
对号入座，比盲目重装高效得多。
据官方说明，登录提示出现时，浏览器没自动弹出，按一下 c 就能把那条 OAuth 登录 URL 复制到剪贴板，再手动粘进浏览器打开。窄终端或 SSH 里 URL 折行、点不动，也用这个办法。
网页明明登录成功，终端却一直等。多数情况是回调请求到不了本机的临时端口。常见诱因：你在远程/容器里（浏览器开在另一台机器上）、隐私类浏览器插件拦了回调地址、或本机临时端口被占用/被防火墙挡。处理顺序：先把浏览器的隐私拦截插件临时关掉重试；远程环境按下文"WSL/SSH"那节走粘码流程；都不行就走下面的"干净重登"。
据官方说明，这条报错意思是登录码过期了，或复制粘贴时被截断。对策：
据官方说明，登录之后报 API Error: 403 ... "Request not allowed"，往往不是登录本身失败，而是账号侧权限或环境问题。逐项核对：
403 单独的网络层成因，我们另有一篇专门拆解，文末有内链。
据 GitHub 上的用户报告，有一类情况是：明明是付费 Max 订阅，OAuth 却把你导到 /onboarding 的"创建账号 / 选套餐"页，而不是已登录状态，CLI 这边就卡住。这类多和第三方身份（比如用 Google 登录）映射到已有账号时对不上有关。遇到这种，优先用邮箱账号那条登录路径，别走容易串号的第三方入口；并确认你授权的就是那个有订阅的账号。注意：不要为了"绕过"去点任何要你跳过校验的旁门左道，正规登录流程本身不该被改。
据官方说明，会话结束后又被要求登录，多半是 OAuth token 过期。直接 /login 重新认证即可。如果频繁掉登录，要查本机系统时钟是否准确——token 校验依赖正确的时间戳，时钟偏了会一直判过期。
据官方说明，macOS 上登录还会因为 Keychain 被锁、或它的密码和你的账户密码不同步而失败，导致 Claude Code 存不进凭据。排查与解锁：
据官方说明，登录失败、又找不到明确原因时，一次干净的重新认证能解决大多数情况，标准三步：
凭据到底存在哪（据官方帮助文档当前说明，这点很多人搞错）：
| 系统 | 凭据存储位置 |
|---|---|
| macOS | 加密的系统 Keychain（不是明文文件） |
| Linux | ~/.claude/.credentials.json，文件权限 0600 |
| Windows | %USERPROFILE%\.claude\.credentials.json，继承用户目录访问控制 |
几条要点：Claude Code 通过 /login 和 /logout 来管理这个 .credentials.json，正常情况下不需要你手动去删它；如果你设了 CLAUDE_CONFIG_DIR 环境变量（Linux/Windows），凭据文件会落在那个目录下而不是默认位置，重登排查时别找错地方。任何时候想确认"我现在到底是用哪种方式登录的"，在 Claude Code 里跑 /status 看一眼。
一个高频坑：你以为在用订阅登录，实际 shell 里残留了一个旧的 ANTHROPIC_API_KEY，它会盖过订阅凭据。表现是登录正常却报"organization has been disabled"之类。unset ANTHROPIC_API_KEY 再 /status 确认即可。下一节展开。
不是所有场景都该跟浏览器 OAuth 死磕。出现下面这些信号，换成 key/token 直连通常更省事：你在无图形界面的服务器上、回调怎么都回不来；你要把 Claude Code 放进 CI/脚本/自动化 里，根本没有人去点浏览器；或者你本来就走中转网关用量计费。
据官方说明，凭据解析有明确优先级（从高到低，命中即用）：云厂商凭据 → ANTHROPIC_AUTH_TOKEN → ANTHROPIC_API_KEY → apiKeyHelper 脚本 → CLAUDE_CODE_OAUTH_TOKEN → /login 的订阅 OAuth。对应到实际选择：
以 apipifa 为例，走中转的两条环境变量大致是这样（key 用你在该平台拿到的，别明文外传）：
这套等于完全跳过浏览器 OAuth，所有请求按这个 base url 走。提醒三点：一是 Base 一律填中转平台给的官方域名，不要去填任何冒充 Anthropic 官方的山寨域名；二是中转能不能跑通、稳不稳，取决于平台当前状态，不打包票，先小额跑通再放量；三是订阅登录和 key/token 直连是两套计费体系，别混用导致莫名 403 或越权。
这是回调失败的重灾区。据官方说明，在 WSL2、SSH 远程或容器里，浏览器通常开在另一台主机上，它的回调到不了 Claude Code 的本机回调服务。处理方式分两路。
这些环境下，你登录后浏览器会显示一个登录码而不是自动跳回。把这个码粘到终端 Paste code here if prompted 提示处即可完成。配套技巧：
如果这台机器根本没法开浏览器、也没法把码倒腾回来，就别跟 OAuth 纠缠了：在有浏览器的本地机器跑 claude setup-token 拿到长期 token，把 CLAUDE_CODE_OAUTH_TOKEN 设到服务器上；或直接用 ANTHROPIC_API_KEY。这也是 CI/CD 流水线的标准做法。
OAuth 这步既要打开 Anthropic 的授权页，又要把回调收回本机，对网络的"一致性"比较敏感。中性地说几条事实，不夸大也不回避：
所以一个朴素的经验是：登录授权这段，用一个稳定一致的网络环境通常更顺，少一点"登一半断"的折腾。这里只做中性提示——不教你去接任何冒充官方的第三方域名、也不建议为绕区域限制去钻校验空子；正规登录流程该走的校验不要跳过。能不能登录成功，仍取决于你的账号状态、网络与官方当前可用性，不承诺 100%。