研究介绍脱离 Bun 二进制伪造 Claude Code 请求签名,可开启快速模式等
Claude Code 向 Anthropic API 发送请求时会带有专有头部,例如 `cch` 是请求完整性校验值,错误时请求会被拒绝。文章称,`cch` 并非由 JavaScript 计算,而是由 Claude Code 自带的私有 Bun 运行时在原生 `fetch` 中完成:当请求命中特定条件时,运行时会对包含 `cch=00000` 占位符的完整 JSON 请求体计算 `xxHash64`,再将结果写回请求体;`cc_version` 末尾的 3 位后缀则由首条用户消息中的指定字符与内置盐值、版本号经 `SHA-256` 计算得出。
据此可实现不依赖 Bun 的 Python PoC,并开启快速模式等。该签名更像计费归因与功能门控机制,而非强访问控制。