@znmin/claude-remote-cli 0.2.0 → 0.2.1

package/README.md

@@ -6,7 +6,7 @@
 
 ## 安装
 
-要求：Node.js **20.11 或更高版本**、npm 和 OpenSSH 客户端。本地模式需要 `ssh`，服务器同步模式另外需要 `scp` 和系统 `tar`。支持 macOS/Linux 的 x64、arm64；Windows 请在 WSL 内使用。本地无需 Python、Homebrew 或 Anthropic 的 Claude Code。
+要求：Node.js **20.11 或更高版本**、npm 和 OpenSSH 客户端。本地模式需要 `ssh`，自动配置免密登录需要 `ssh-keygen`，服务器同步模式另外需要 `scp` 和系统 `tar`。支持 macOS/Linux 的 x64、arm64；Windows 请在 WSL 内使用。本地无需 Python、Homebrew 或 Anthropic 的 Claude Code。
 
 npm 包名为 `@znmin/claude-remote-cli`，安装后提供 `claude` 和 `claude-remote` 命令。
 
@@ -25,10 +25,10 @@ npm install -g git+https://github.com/znmin/claude-remote-cli.git
 也可以从已下载的分发包安装：
 
 ```bash
-npm install -g ./znmin-claude-remote-cli-0.2.0.tgz
+npm install -g ./znmin-claude-remote-cli-0.2.1.tgz
 ```
 
-若系统 npm 全局目录不可写，可使用 `npm install -g --prefix "$HOME/.local" ./znmin-claude-remote-cli-0.2.0.tgz`，并确保 `~/.local/bin` 在 PATH 中；卸载时也使用相同的 `--prefix`。
+若系统 npm 全局目录不可写，可使用 `npm install -g --prefix "$HOME/.local" ./znmin-claude-remote-cli-0.2.1.tgz`，并确保 `~/.local/bin` 在 PATH 中；卸载时也使用相同的 `--prefix`。
 
 npm 中不带作用域的 `claude-remote-cli` 属于其他项目。本项目使用独立的 `@znmin/claude-remote-cli` 作用域包名；请安装完整包名，或使用上述 GitHub 地址及本项目分发的 `.tgz` 文件。
 
@@ -67,6 +67,22 @@ claude --continue
 
 未配置服务器时，也可以直接运行 `claude`，按终端提示输入服务器地址和端口。请勿把密码或私钥填入配置；登录使用 OpenSSH 原有认证流程和主机身份验证。
 
+### 自动配置 SSH 免密登录（0.2.1）
+
+两种执行模式每次启动都会先检查独立的公钥登录。如果已有可用的 SSH 密钥或 SSH Agent 授权，直接连接，不生成新密钥。
+
+尚不能免密登录时，交互终端会自动引导首次 SSH 登录：确认服务器指纹，按系统 SSH 提示输入服务器密码（或已有私钥口令）。登录成功后，为该地址和端口创建专用 Ed25519 无口令密钥，私钥保存于本机 `~/.ssh/claude-remote/`，目录权限 0700，私钥权限 0600。只把公钥追加到服务器的 `~/.ssh/authorized_keys`，保留其他已有授权；程序不读取或保存服务器密码，也不会关闭主机指纹验证。
+
+独立密钥登录验证成功后，在 `~/.ssh/config` 末尾添加对应 SSH 主机名或别名的 `IdentityFile` 配置，保留原有用户、端口、密钥和跳板机设置，让系统 SSH、SCP 和 Mutagen 都能使用。SSH 的 Host 规则按主机名匹配，因此同一主机其他用户或端口的连接也可能尝试该密钥，是否接受仍由各自服务器账号的授权决定。完成后再次检查默认连接，后续启动无需重复授权。
+
+也可以在配置服务器后单独运行：
+
+```bash
+claude-remote setup-ssh
+```
+
+非交互运行且免密连接不可用时会停止并提示先在终端完成设置，不自动修改密钥。服务器必须允许公钥登录，并允许当前账号修改默认 `authorized_keys` 文件；强制额外验证码或采用自定义授权路径的服务器需要管理员配置，程序不会修改 sshd 策略。已有带口令密钥如需免提示，可预先交给本机 SSH Agent 管理。
+
 若需要使用特定的 Claude 可执行文件，可指定绝对路径；自定义路径不存在时会提示修正配置，不会自动改用其他程序：
 
 ```bash
@@ -184,7 +200,7 @@ npm test
 CLAUDE_REMOTE_INTEGRATION=1 CLAUDE_REMOTE_BROWSER_TEST=1 npm test
 
 npm pack
-npm install -g ./znmin-claude-remote-cli-0.2.0.tgz
+npm install -g ./znmin-claude-remote-cli-0.2.1.tgz
 
 # 确定包名、版本和使用条款后，使用有发布权限的 npm 账号发布
 npm login

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@znmin/claude-remote-cli",
-  "version": "0.2.0",
+  "version": "0.2.1",
   "description": "Run Claude Code on an SSH server with local filesystem, terminal and browser tools, or remote bidirectional sync",
   "type": "module",
   "license": "UNLICENSED",

package/src/cli.js

@@ -20,6 +20,7 @@ const HELP = `${PACKAGE.name} ${PACKAGE.version}（非 Anthropic 官方客户端
   claude-remote flush               等待当前目录同步完成
   claude-remote stop [--all | --name 名称]
   claude-remote doctor              检查本地环境，不连接服务器
+  claude-remote setup-ssh           配置并验证服务器 SSH 免密登录（启动时自动检查）
   claude-remote install-sync        准备同步工具（通常自动完成）
   claude-remote install-browser     准备本地受控浏览器（本地模式自动完成）
   claude-remote run [Claude 参数]   启动远程 Claude
@@ -28,7 +29,7 @@ configure 可选：--mode local|remote、--headless/--headed、--root 远程根
 新配置默认使用本地执行；旧配置保持服务器模式，直到显式切换。
 服务器缺少默认 Claude Code 时会自动安装；首次启动需完成认证。
 此工具不提供服务器或 Claude 账号。
-退出 Claude 后会继续后台同步；停止请运行 claude-remote stop。
+仅服务器同步模式会在退出后继续后台同步；停止请运行 claude-remote stop。
 `;
 
 async function configure(client, args) {
@@ -97,6 +98,9 @@ export async function main(asClaude, args = process.argv.slice(2), client = new
     await client.stop(values); return 0;
   }
   if (rest.length) throw new Error(`${action} 不接受额外参数。`);
+  if (action === 'setup-ssh') {
+    await client.ensureSSH(client, await client.settings()); return 0;
+  }
   if (action === 'status') {
     await client.sync(['list', '--long', '--label-selector', 'claude-remote=true'], { capture: false }); return 0;
   }

package/src/client.js

@@ -6,6 +6,7 @@ import { execute, exists, quote, readJSON, shellJoin, which, withLock, writeJSON
 import { ensureMutagen } from './installer.js';
 import { ensureRemoteClaude, remoteEnvironment as prefix } from './remote-claude.js';
 import { sshArgs } from './ssh.js';
+import { ensureSSH } from './ssh-auth.js';
 export { sshArgs } from './ssh.js';
 
 export const DEFAULTS = {
@@ -58,6 +59,7 @@ export class Client {
     this.registryFile = path.join(this.directory, 'projects.json');
     this.lockFile = path.join(this.directory, 'npm-state');
     this.execute = options.execute || execute;
+    this.ensureSSH = options.ensureSSH || ensureSSH;
     this.ensureMutagen = options.ensureMutagen || ensureMutagen;
     this.log = options.log || console.error;
     this.warn = options.warn || console.error;
@@ -148,6 +150,7 @@ export class Client {
   }
 
   async launch(config, extra) {
+    await this.ensureSSH(this, config);
     if (config.mode === 'local') {
       const { launchLocal } = await import('./local-mode.js');
       return launchLocal(this, config, extra);

package/src/ssh-auth.js

@@ -0,0 +1,83 @@
+import * as fs from 'node:fs/promises';
+import path from 'node:path';
+import os from 'node:os';
+import { createHash } from 'node:crypto';
+import { sshBase } from './ssh.js';
+import { exists, quote, which, withLock } from './system.js';
+
+// Force a new public-key connection: an existing multiplexed/password session
+// must never be mistaken for successful key authentication.
+const probeOptions = ['-o', 'BatchMode=yes', '-o', 'PreferredAuthentications=publickey',
+  '-o', 'ControlPath=none', '-o', 'ControlMaster=no'];
+
+export function authorizeKeyScript(publicKey) {
+  if (!/^ssh-ed25519 [A-Za-z0-9+/]+={0,3}(?: [^\r\n]*)?$/.test(publicKey))
+    throw new Error('专用 SSH 公钥格式无效。');
+  return 'set -eu; umask 077; mkdir -p "$HOME/.ssh"; chmod 700 "$HOME/.ssh"; ' +
+    'touch "$HOME/.ssh/authorized_keys"; chmod 600 "$HOME/.ssh/authorized_keys"; ' +
+    'key=' + quote(publicKey) + '; ' +
+    'if ! grep -qxF -- "$key" "$HOME/.ssh/authorized_keys"; then ' +
+    // A pre-existing file need not end with a newline.
+    'printf "\\n%s\\n" "$key" >> "$HOME/.ssh/authorized_keys"; fi';
+}
+
+export async function ensureSSH(client, config) {
+  if (!await which('ssh', client.env.PATH)) throw new Error('找不到系统 SSH 客户端。');
+  const run = (args, options = {}) => client.execute('ssh', [...sshBase(config), ...args],
+    { env: client.env, timeout: 30000, ...options });
+  const probe = async (identity = []) => (await run([...probeOptions, ...identity, config.host, 'true'],
+    { capture: true, check: false })).code === 0;
+  if (await probe()) return;
+  if (!client.tty) throw new Error('SSH 免密连接尚不可用。请在交互终端运行 claude-remote setup-ssh，完成首次登录及密钥授权；也请检查服务器地址和主机指纹。');
+  if (!await which('ssh-keygen', client.env.PATH)) throw new Error('找不到 ssh-keygen，请安装 OpenSSH 客户端。');
+
+  const directory = path.join(client.home, '.ssh', 'claude-remote');
+  await withLock(path.join(directory, 'setup'), async () => {
+    if (await probe()) return;
+    const base = os.tmpdir().length > 55 ? '/tmp' : os.tmpdir();
+    const temporary = await fs.mkdtemp(path.join(base, 'ccra-'));
+    const socket = path.join(temporary, 'ssh');
+    try {
+      client.log('正在配置 SSH 免密登录。首次连接请确认服务器指纹，并按 SSH 提示输入服务器密码。');
+      // Authenticate once; subsequent installation reuses this private socket.
+      // Do not capture authentication output or handle passwords in JavaScript.
+      await run(['-M', '-S', socket, '-o', 'ControlPersist=no', '-o', 'ControlMaster=yes',
+        '-f', '-N', config.host], { timeout: 180000, capture: false });
+      const id = createHash('sha256').update(config.host + '\0' + (config.port ?? '')).digest('hex').slice(0, 20);
+      const key = path.join(directory, 'id_ed25519_' + id);
+      await fs.chmod(directory, 0o700);
+      if (!await exists(key)) {
+        if (await exists(key + '.pub')) throw new Error('专用 SSH 私钥缺失但公钥仍存在，请检查：' + key);
+        client.log('创建仅供该服务器使用的无口令 SSH 密钥，私钥保存在本机，文件权限设为仅本人可读。');
+        await client.execute('ssh-keygen', ['-q', '-t', 'ed25519', '-N', '', '-C', 'claude-remote-cli', '-f', key],
+          { env: client.env, capture: true, timeout: 30000 });
+      }
+      await fs.chmod(key, 0o600);
+      // Derive from the private key so an outdated .pub file cannot authorize
+      // the wrong key. Never transmit the private key.
+      const derived = await client.execute('ssh-keygen', ['-y', '-P', '', '-f', key],
+        { env: client.env, capture: true, timeout: 30000 });
+      const publicKey = derived.stdout.trim();
+      const script = authorizeKeyScript(publicKey);
+      await run(['-S', socket, config.host, 'sh -c ' + quote(script)], { capture: false });
+      if (!await probe(['-i', key, '-o', 'IdentitiesOnly=yes', '-o', 'IdentityAgent=none']))
+        throw new Error('公钥已添加，但独立密钥登录验证失败。请检查服务器的公钥登录策略和 authorized_keys 设置；未修改本机 SSH 配置。');
+
+      // SSH's ordinary config also makes the key available to Mutagen and scp.
+      // IdentityFile is additive; do not replace existing host/user/proxy rules.
+      const configFile = path.join(client.home, '.ssh', 'config');
+      const host = config.host.split('@').at(-1);
+      const escaped = key.replaceAll('%', '%%').replaceAll('\\', '\\\\').replaceAll('"', '\\"');
+      const block = `\n# claude-remote-cli ${id}\nHost ${host}\n  IdentityFile "${escaped}"\nHost *\n`;
+      const previous = await fs.readFile(configFile, 'utf8').catch(error => {
+        if (error.code === 'ENOENT') return ''; throw error;
+      });
+      if (!previous.includes(block)) await fs.appendFile(configFile, block, { mode: 0o600 });
+      if (!await probe()) throw new Error('密钥已授权，但默认 SSH 配置验证失败。请检查 ~/.ssh/config 的 IdentityFile 和 IdentitiesOnly 设置。');
+      client.log('SSH 免密登录已配置并验证成功，后续连接无需输入服务器密码。');
+    } finally {
+      await run(['-S', socket, '-O', 'exit', config.host], { capture: true, check: false, timeout: 5000 }).catch(() => {});
+      await fs.rm(temporary, { recursive: true, force: true });
+    }
+  });
+}