@znmin/claude-remote-cli 0.2.2 → 0.2.3

package/README.md

@@ -25,10 +25,10 @@ npm install -g git+https://github.com/znmin/claude-remote-cli.git
 也可以从已下载的分发包安装：
 
 ```bash
-npm install -g ./znmin-claude-remote-cli-0.2.2.tgz
+npm install -g ./znmin-claude-remote-cli-0.2.3.tgz
 ```
 
-若系统 npm 全局目录不可写，可使用 `npm install -g --prefix "$HOME/.local" ./znmin-claude-remote-cli-0.2.2.tgz`，并确保 `~/.local/bin` 在 PATH 中；卸载时也使用相同的 `--prefix`。
+若系统 npm 全局目录不可写，可使用 `npm install -g --prefix "$HOME/.local" ./znmin-claude-remote-cli-0.2.3.tgz`，并确保 `~/.local/bin` 在 PATH 中；卸载时也使用相同的 `--prefix`。
 
 npm 中不带作用域的 `claude-remote-cli` 属于其他项目。本项目使用独立的 `@znmin/claude-remote-cli` 作用域包名；请安装完整包名，或使用上述 GitHub 地址及本项目分发的 `.tgz` 文件。
 
@@ -81,7 +81,17 @@ claude --continue
 claude-remote setup-ssh
 ```
 
-非交互运行且免密连接不可用时会停止并提示先在终端完成设置，不自动修改密钥。服务器必须允许公钥登录，并允许当前账号修改默认 `authorized_keys` 文件；强制额外验证码或采用自定义授权路径的服务器需要管理员配置，程序不会修改 sshd 策略。已有带口令密钥如需免提示，可预先交给本机 SSH Agent 管理。
+0.2.3 起，首次密码登录后会先读取当前账号和连接对应的有效 sshd 策略。发现 `PubkeyAuthentication no` 或不允许单独使用公钥的 `AuthenticationMethods` 时，在生成/添加密钥之前停止，给出具体原因；无法读取策略时会说明限制并尝试普通公钥授权。
+
+如果服务器关闭了公钥登录，可以显式运行：
+
+```bash
+claude-remote setup-ssh --enable-pubkey
+```
+
+该选项只支持 root 登录的标准 Linux systemd SSH 服务（`ssh.service` 或 `sshd.service`），使用默认 `/etc/ssh/sshd_config`，不支持自定义 `-f`/`-o` 启动参数。它会备份原配置，只在全局配置最前面添加 `PubkeyAuthentication yes`，不改密码登录、root 登录或多因素策略；通过 `sshd -t` 和当前连接的有效策略校验后重新加载服务，随后继续添加公钥并独立验证登录。校验或加载失败会恢复备份并尝试重新加载原配置；备份路径会打印出来。普通启动不会自动修改服务策略。额外认证、Match 限制、容器/非 systemd 服务和自定义授权路径需要管理员处理。
+
+非交互运行且免密连接不可用时会停止并提示先在终端完成设置，不自动修改密钥。服务器必须允许当前账号修改默认 `authorized_keys` 文件。已有带口令密钥如需免提示，可预先交给本机 SSH Agent 管理。
 
 若需要使用特定的 Claude 可执行文件，可指定绝对路径；自定义路径不存在时会提示修正配置，不会自动改用其他程序：
 
@@ -200,7 +210,7 @@ npm test
 CLAUDE_REMOTE_INTEGRATION=1 CLAUDE_REMOTE_BROWSER_TEST=1 npm test
 
 npm pack
-npm install -g ./znmin-claude-remote-cli-0.2.2.tgz
+npm install -g ./znmin-claude-remote-cli-0.2.3.tgz
 
 # 确定包名、版本和使用条款后，使用有发布权限的 npm 账号发布
 npm login

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@znmin/claude-remote-cli",
-  "version": "0.2.2",
+  "version": "0.2.3",
   "description": "Run Claude Code on an SSH server with local filesystem, terminal and browser tools, or remote bidirectional sync",
   "type": "module",
   "license": "UNLICENSED",

package/src/cli.js

@@ -20,7 +20,7 @@ const HELP = `${PACKAGE.name} ${PACKAGE.version}（非 Anthropic 官方客户端
   claude-remote flush               等待当前目录同步完成
   claude-remote stop [--all | --name 名称]
   claude-remote doctor              检查本地环境，不连接服务器
-  claude-remote setup-ssh           配置并验证服务器 SSH 免密登录（启动时自动检查）
+  claude-remote setup-ssh [--enable-pubkey] 配置免密登录；可显式开启服务器公钥认证
   claude-remote install-sync        准备同步工具（通常自动完成）
   claude-remote install-browser     准备本地受控浏览器（本地模式自动完成）
   claude-remote run [Claude 参数]   启动远程 Claude
@@ -97,10 +97,13 @@ export async function main(asClaude, args = process.argv.slice(2), client = new
     if (positionals.length || values.all && values.name) throw new Error('用法：claude-remote stop [--all | --name 名称]');
     await client.stop(values); return 0;
   }
-  if (rest.length) throw new Error(`${action} 不接受额外参数。`);
   if (action === 'setup-ssh') {
-    await client.ensureSSH(client, await client.settings()); return 0;
+    const { values, positionals } = parseArgs({ args: rest, allowPositionals: true,
+      options: { 'enable-pubkey': { type: 'boolean' } } });
+    if (positionals.length) throw new Error('用法：claude-remote setup-ssh [--enable-pubkey]');
+    await client.ensureSSH(client, await client.settings(), { enablePubkey: Boolean(values['enable-pubkey']) }); return 0;
   }
+  if (rest.length) throw new Error(`${action} 不接受额外参数。`);
   if (action === 'status') {
     await client.sync(['list', '--long', '--label-selector', 'claude-remote=true'], { capture: false }); return 0;
   }

package/src/ssh-auth.js

@@ -4,6 +4,7 @@ import os from 'node:os';
 import { createHash } from 'node:crypto';
 import { sshBase } from './ssh.js';
 import { exists, quote, which, withLock } from './system.js';
+import { parseSSHPolicy, sshPolicyScript } from './ssh-policy.js';
 
 // Force a new public-key connection: an existing multiplexed/password session
 // must never be mistaken for successful key authentication.
@@ -21,7 +22,7 @@ export function authorizeKeyScript(publicKey) {
     'printf "\\n%s\\n" "$key" >> "$HOME/.ssh/authorized_keys"; fi';
 }
 
-export async function ensureSSH(client, config) {
+export async function ensureSSH(client, config, { enablePubkey = false } = {}) {
   if (!await which('ssh', client.env.PATH)) throw new Error('找不到系统 SSH 客户端。');
   const run = (args, options = {}) => client.execute('ssh', [...sshBase(config), ...args],
     { env: client.env, timeout: 30000, ...options });
@@ -43,6 +44,22 @@ export async function ensureSSH(client, config) {
       // Do not capture authentication output or handle passwords in JavaScript.
       await run(['-M', '-S', socket, '-o', 'ControlPersist=no', '-o', 'ControlMaster=yes',
         '-f', '-N', config.host], { timeout: 180000, capture: false });
+      const inspect = await run(['-S', socket, config.host, 'sh -c ' + quote(sshPolicyScript({ enable: enablePubkey }))],
+        { capture: true });
+      const policy = parseSSHPolicy(inspect.stdout);
+      if (policy.backup) client.log('服务器公钥登录已开启，原配置备份：' + policy.backup);
+      if (policy.pubkeyauthentication === 'no')
+        throw new Error('服务器关闭了公钥登录（PubkeyAuthentication no），尚未生成或添加密钥。' +
+          (policy.uid === '0' ? '如需开启，请运行：claude-remote setup-ssh --enable-pubkey（备份配置、校验后重新加载，保留密码登录）。' :
+            '请联系管理员开启该账号的公钥登录，再运行 claude-remote setup-ssh。'));
+      if (policy.authenticationmethods && policy.authenticationmethods !== 'any' &&
+          !policy.authenticationmethods.split(/\s+/).includes('publickey'))
+        throw new Error('服务器 AuthenticationMethods=' + policy.authenticationmethods +
+          '，不允许仅凭公钥登录；请联系管理员确认认证策略。未修改该策略，尚未生成或添加密钥。');
+      if (policy.status !== 'ok') {
+        if (enablePubkey) throw new Error('无法读取服务器有效 SSH 配置，未自动修改服务器策略；请联系管理员检查。');
+        client.log('当前账号无法读取 SSH 服务策略，将尝试普通公钥授权；如失败请由管理员检查公钥登录是否开启。');
+      }
       const id = createHash('sha256').update(config.host + '\0' + (config.port ?? '')).digest('hex').slice(0, 20);
       const key = path.join(directory, 'id_ed25519_' + id);
       await fs.chmod(directory, 0o700);

package/src/ssh-policy.js

@@ -0,0 +1,92 @@
+import { quote } from './system.js';
+
+// configFile is injectable only for isolated filesystem tests, never a CLI flag.
+export function sshPolicyScript({ enable = false, configFile = '/etc/ssh/sshd_config', procRoot = '/proc' } = {}) {
+  return `# claude-remote-ssh-policy
+set -eu
+sshd=$(command -v sshd || true)
+if [ -z "$sshd" ] && [ -x /usr/sbin/sshd ]; then sshd=/usr/sbin/sshd; fi
+printf 'uid=%s\\n' "$(id -u)"
+if [ -z "$sshd" ]; then printf 'status=unavailable\\n'; exit 0; fi
+set -- \${SSH_CONNECTION:-}
+connection="user=$(id -un)"
+if [ "$#" -eq 4 ]; then connection="$connection,addr=$1,host=$1,laddr=$3,lport=$4"; fi
+policy() { "$sshd" -T -C "$connection"; }
+if ! current=$(policy 2>/dev/null); then printf 'status=unavailable\\n'; exit 0; fi
+${enable ? `
+if printf '%s\\n' "$current" | grep -qx 'pubkeyauthentication no'; then
+  printf '%s\\n' "$current" | grep -Eq '^authenticationmethods (any|([^ ]+ )*publickey)( |$)' || {
+    echo '服务器要求额外认证，未修改认证策略。' >&2; exit 1;
+  }
+  [ "$(id -u)" = 0 ] || { echo '自动开启公钥登录需要 root；请由管理员配置。' >&2; exit 1; }
+  [ "$(uname -s)" = Linux ] || { echo '自动开启仅支持 Linux systemd 的标准 SSH 服务。' >&2; exit 1; }
+  service=
+  for name in ssh.service sshd.service; do
+    if systemctl is-active --quiet "$name"; then service=$name; break; fi
+  done
+  [ -n "$service" ] || { echo '无法确认正在运行的 SSH 服务，未修改配置。' >&2; exit 1; }
+  pid=$(systemctl show "$service" --property=MainPID --value)
+  case "$pid" in ''|*[!0-9]*|0) echo '无法确认 SSH 服务进程，未修改配置。' >&2; exit 1;; esac
+  process_file=${quote(procRoot)}/"$pid"/cmdline
+  [ -r "$process_file" ] || { echo '无法读取 SSH 服务参数，未修改配置。' >&2; exit 1; }
+  process_args=$(tr '\\000' ' ' < "$process_file")
+  invocation=$(systemctl show "$service" --property=ExecStart --property=Environment)
+  case "$invocation $process_args" in
+    *' -f'*|*' -o'*) echo 'SSH 服务使用自定义参数，请由管理员配置；未修改配置。' >&2; exit 1;;
+  esac
+  file=${quote(configFile)}
+  [ -f "$file" ] && [ ! -L "$file" ] || { echo 'SSH 配置不是普通文件，未修改配置。' >&2; exit 1; }
+  backup=$(mktemp "$file.claude-remote.XXXXXX")
+  cp -p "$file" "$backup"
+  changed=0
+  candidate=
+  rollback() {
+    code=$?
+    trap - EXIT HUP INT TERM
+    if [ -n "$candidate" ]; then rm -f "$candidate"; fi
+    if [ "$changed" = 1 ]; then
+      cp -p "$backup" "$file"
+      if ! "$sshd" -t || ! systemctl reload "$service"; then
+        echo "恢复后的 SSH 配置校验或重新加载失败，请使用备份检查：$backup" >&2
+      fi
+      echo "开启失败，已恢复原配置；备份：$backup" >&2
+    fi
+    exit "$code"
+  }
+  trap rollback EXIT
+  trap 'exit 1' HUP INT TERM
+  # First global value wins, including over later Include files. Restrictive
+  # Match rules must pass the connection-specific check or we roll back.
+  candidate=$(mktemp "$file.claude-remote-stage.XXXXXX")
+  cp -p "$backup" "$candidate"
+  { printf 'PubkeyAuthentication yes\\n'; cat "$backup"; } > "$candidate"
+  changed=1
+  mv -f "$candidate" "$file"
+  "$sshd" -t
+  current=$(policy)
+  printf '%s\\n' "$current" | grep -qx 'pubkeyauthentication yes' || {
+    echo '当前账号的 Match 策略仍禁止公钥登录。' >&2; exit 1;
+  }
+  systemctl reload "$service"
+  changed=0
+  trap - EXIT HUP INT TERM
+  printf 'backup=%s\\n' "$backup"
+fi
+` : ''}
+printf 'status=ok\\n'
+printf '%s\\n' "$current" | while IFS=' ' read -r key value; do
+  case "$key" in pubkeyauthentication|authenticationmethods|authorizedkeysfile|permitrootlogin)
+    printf '%s=%s\\n' "$key" "$value";;
+  esac
+done
+`;
+}
+
+export function parseSSHPolicy(output) {
+  const result = {};
+  for (const line of output.split(/\r?\n/)) {
+    const index = line.indexOf('=');
+    if (index > 0) result[line.slice(0, index)] = line.slice(index + 1);
+  }
+  return result;
+}