@znmin/claude-remote-cli 0.2.2 → 0.2.4

package/README.md

@@ -25,10 +25,10 @@ npm install -g git+https://github.com/znmin/claude-remote-cli.git
 也可以从已下载的分发包安装：
 
 ```bash
-npm install -g ./znmin-claude-remote-cli-0.2.2.tgz
+npm install -g ./znmin-claude-remote-cli-0.2.4.tgz
 ```
 
-若系统 npm 全局目录不可写，可使用 `npm install -g --prefix "$HOME/.local" ./znmin-claude-remote-cli-0.2.2.tgz`，并确保 `~/.local/bin` 在 PATH 中；卸载时也使用相同的 `--prefix`。
+若系统 npm 全局目录不可写，可使用 `npm install -g --prefix "$HOME/.local" ./znmin-claude-remote-cli-0.2.4.tgz`，并确保 `~/.local/bin` 在 PATH 中；卸载时也使用相同的 `--prefix`。
 
 npm 中不带作用域的 `claude-remote-cli` 属于其他项目。本项目使用独立的 `@znmin/claude-remote-cli` 作用域包名；请安装完整包名，或使用上述 GitHub 地址及本项目分发的 `.tgz` 文件。
 
@@ -81,7 +81,17 @@ claude --continue
 claude-remote setup-ssh
 ```
 
-非交互运行且免密连接不可用时会停止并提示先在终端完成设置，不自动修改密钥。服务器必须允许公钥登录，并允许当前账号修改默认 `authorized_keys` 文件；强制额外验证码或采用自定义授权路径的服务器需要管理员配置，程序不会修改 sshd 策略。已有带口令密钥如需免提示，可预先交给本机 SSH Agent 管理。
+0.2.3 起，首次密码登录后会先读取当前账号和连接对应的有效 sshd 策略。发现 `PubkeyAuthentication no` 或不允许单独使用公钥的 `AuthenticationMethods` 时，在生成/添加密钥之前停止，给出具体原因；无法读取策略时会说明限制并尝试普通公钥授权。
+
+如果服务器关闭了公钥登录，可以显式运行：
+
+```bash
+claude-remote setup-ssh --enable-pubkey
+```
+
+该选项只支持 root 登录的标准 Linux systemd SSH 服务（`ssh.service` 或 `sshd.service`），使用默认 `/etc/ssh/sshd_config`，不支持自定义 `-f`/`-o` 启动参数。它会备份原配置，只在全局配置最前面添加 `PubkeyAuthentication yes`，不改密码登录、root 登录或多因素策略；通过 `sshd -t` 和当前连接的有效策略校验后重新加载服务，随后继续添加公钥并独立验证登录。校验或加载失败会恢复备份并尝试重新加载原配置；备份路径会打印出来。普通启动不会自动修改服务策略。额外认证、Match 限制、容器/非 systemd 服务和自定义授权路径需要管理员处理。
+
+非交互运行且免密连接不可用时会停止并提示先在终端完成设置，不自动修改密钥。服务器必须允许当前账号修改默认 `authorized_keys` 文件。已有带口令密钥如需免提示，可预先交给本机 SSH Agent 管理。
 
 若需要使用特定的 Claude 可执行文件，可指定绝对路径；自定义路径不存在时会提示修正配置，不会自动改用其他程序：
 
@@ -171,6 +181,16 @@ CLAUDE_REMOTE_HOST=another-server CLAUDE_REMOTE_PORT=2222 claude
 - 不允许同步整个本机用户目录或磁盘根目录。不会同步用户目录中的 Claude 登录信息；远程使用自己的登录状态和工具配置。
 - 本版不提供 tmux 会话恢复。网络中断后文件同步会尝试重连，远程 Claude 进程是否继续运行取决于服务器的进程行为。
 
+## 运行提示与调试
+
+正常使用时，只显示需要等待或操作的提示，例如首次下载组件、SSH 验证、服务器策略修复结果，以及错误。已配置好的本地模式直接进入 Claude，不重复显示模式说明、项目路径或浏览器缓存检查。服务器同步模式会简短提示“正在同步…”。`configure`、`setup-ssh`、`doctor` 等显式管理命令仍显示操作结果；Claude 自身的界面和 SSH 验证提示不受影响。
+
+需要查看连接目标、项目路径、密钥配置过程、缓存检查、同步工具过程输出和错误堆栈时，临时启用：
+
+```bash
+CLAUDE_REMOTE_DEBUG=1 claude
+```
+
 ## 高级环境变量
 
 | 变量 | 用途 |
@@ -184,7 +204,7 @@ CLAUDE_REMOTE_HOST=another-server CLAUDE_REMOTE_PORT=2222 claude
 | `CLAUDE_REMOTE_MUTAGEN` | 使用自行准备的 Mutagen 可执行文件绝对路径（应为 0.18.1，并放置配套代理包） |
 | `CLAUDE_REMOTE_PREPARE_SYNC=1` | npm 安装阶段提前准备同步工具，默认按需准备 |
 | `CLAUDE_REMOTE_SKIP_DOWNLOAD=1` | 跳过安装阶段的同步工具准备 |
-| `CLAUDE_REMOTE_DEBUG=1` | 出错时显示调试信息 |
+| `CLAUDE_REMOTE_DEBUG=1` | 显示详细启动过程和错误堆栈 |
 
 `npm install --ignore-scripts` 也受支持，首次使用各模式时准备对应组件。无法访问 GitHub 时可自行准备 Mutagen 并使用 `CLAUDE_REMOTE_MUTAGEN`。浏览器缓存由 Playwright 管理，支持其 `PLAYWRIGHT_BROWSERS_PATH` 环境变量。
 
@@ -200,7 +220,7 @@ npm test
 CLAUDE_REMOTE_INTEGRATION=1 CLAUDE_REMOTE_BROWSER_TEST=1 npm test
 
 npm pack
-npm install -g ./znmin-claude-remote-cli-0.2.2.tgz
+npm install -g ./znmin-claude-remote-cli-0.2.4.tgz
 
 # 确定包名、版本和使用条款后，使用有发布权限的 npm 账号发布
 npm login

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@znmin/claude-remote-cli",
-  "version": "0.2.2",
+  "version": "0.2.4",
   "description": "Run Claude Code on an SSH server with local filesystem, terminal and browser tools, or remote bidirectional sync",
   "type": "module",
   "license": "UNLICENSED",

package/scripts/postinstall.js

@@ -3,10 +3,9 @@ import { ensureMutagen } from '../src/installer.js';
 if (process.env.CLAUDE_REMOTE_PREPARE_SYNC === '1' && process.env.CLAUDE_REMOTE_SKIP_DOWNLOAD !== '1') {
   try {
     await ensureMutagen();
-    console.log('claude 已安装。运行 claude-remote configure 用户名@服务器，或直接运行 claude 开始配置。');
   } catch (error) {
     // Offline installation and npm --ignore-scripts remain supported: retry at first use.
     console.warn(`CLI 已安装，同步工具准备未完成：${error.message}\n首次连接时会重试。`);
   }
 }
-console.log('安装完成：运行 claude 配置服务器并启动。新配置默认本地执行；同步工具和浏览器在对应模式首次使用时自动准备。');
+console.log('安装完成，运行 claude 开始。');

package/src/cli.js

@@ -20,7 +20,7 @@ const HELP = `${PACKAGE.name} ${PACKAGE.version}（非 Anthropic 官方客户端
   claude-remote flush               等待当前目录同步完成
   claude-remote stop [--all | --name 名称]
   claude-remote doctor              检查本地环境，不连接服务器
-  claude-remote setup-ssh           配置并验证服务器 SSH 免密登录（启动时自动检查）
+  claude-remote setup-ssh [--enable-pubkey] 配置免密登录；可显式开启服务器公钥认证
   claude-remote install-sync        准备同步工具（通常自动完成）
   claude-remote install-browser     准备本地受控浏览器（本地模式自动完成）
   claude-remote run [Claude 参数]   启动远程 Claude
@@ -29,6 +29,7 @@ configure 可选：--mode local|remote、--headless/--headed、--root 远程根
 新配置默认使用本地执行；旧配置保持服务器模式，直到显式切换。
 服务器缺少默认 Claude Code 时会自动安装；首次启动需完成认证。
 此工具不提供服务器或 Claude 账号。
+详细诊断：CLAUDE_REMOTE_DEBUG=1 claude
 仅服务器同步模式会在退出后继续后台同步；停止请运行 claude-remote stop。
 `;
 
@@ -97,10 +98,14 @@ export async function main(asClaude, args = process.argv.slice(2), client = new
     if (positionals.length || values.all && values.name) throw new Error('用法：claude-remote stop [--all | --name 名称]');
     await client.stop(values); return 0;
   }
-  if (rest.length) throw new Error(`${action} 不接受额外参数。`);
   if (action === 'setup-ssh') {
-    await client.ensureSSH(client, await client.settings()); return 0;
+    const { values, positionals } = parseArgs({ args: rest, allowPositionals: true,
+      options: { 'enable-pubkey': { type: 'boolean' } } });
+    if (positionals.length) throw new Error('用法：claude-remote setup-ssh [--enable-pubkey]');
+    await client.ensureSSH(client, await client.settings(), { enablePubkey: Boolean(values['enable-pubkey']) });
+    client.log('SSH 免密登录可用。'); return 0;
   }
+  if (rest.length) throw new Error(`${action} 不接受额外参数。`);
   if (action === 'status') {
     await client.sync(['list', '--long', '--label-selector', 'claude-remote=true'], { capture: false }); return 0;
   }
@@ -110,7 +115,7 @@ export async function main(asClaude, args = process.argv.slice(2), client = new
   if (action === 'install-sync') { console.log('同步工具：' + await ensureMutagen({ env: client.env })); return 0; }
   if (action === 'install-browser') {
     const { installBrowser } = await import('./local/browser.js');
-    await installBrowser(client.log); console.log('本地受控浏览器已就绪。'); return 0;
+    await installBrowser(client.log, { debug: client.debug }); console.log('浏览器已就绪。'); return 0;
   }
   if (action === 'doctor') {
     console.log(`Node.js：${process.version}\n平台：${process.platform}/${process.arch}`);

package/src/client.js

@@ -63,6 +63,9 @@ export class Client {
     this.ensureMutagen = options.ensureMutagen || ensureMutagen;
     this.log = options.log || console.error;
     this.warn = options.warn || console.error;
+    this.debug = (...messages) => {
+      if (this.env.CLAUDE_REMOTE_DEBUG === '1') this.log(...messages);
+    };
     this.tty = options.tty ?? Boolean(process.stdin.isTTY && process.stdout.isTTY);
   }
 
@@ -74,8 +77,10 @@ export class Client {
         ignores: [...DEFAULTS.ignores, ...(input.ignores || [])],
         client_id: old.client_id || randomUUID().replaceAll('-', '').slice(0, 12) });
       await writeJSON(this.configFile, config);
-      this.log(`已配置服务器：${config.host}。进入项目目录后运行 claude。`);
-      this.log(`当前模式：${config.mode === 'local' ? '本地执行' : '服务器执行与双向同步'}。旧后台同步不会自动停止，可用 claude-remote stop --all 停止。`);
+      this.log(`已保存：${config.host}（${config.mode === 'local' ? '本地执行' : '远程同步'}）。`);
+      this.debug(`配置文件：${this.configFile}`);
+      if (old.host && (old.host !== config.host || (old.mode || 'remote') !== config.mode))
+        this.log('停止旧同步：claude-remote stop --all');
       return config;
     });
   }
@@ -150,6 +155,7 @@ export class Client {
   }
 
   async launch(config, extra) {
+    this.debug(`连接：${config.host}${config.port ? ':' + config.port : ''}，模式：${config.mode || 'remote'}`);
     await this.ensureSSH(this, config);
     if (config.mode === 'local') {
       const { launchLocal } = await import('./local-mode.js');
@@ -178,21 +184,22 @@ export class Client {
       await this.remote(config, ensureRemoteClaude(config.claude) +
         'mkdir -p -- ' + remotePath(item.remote), false, { timeout: 600000 });
       if (existing.some(session => session.name === item.name)) {
-        await this.sync(['resume', item.name], { timeout: 60000, capture: !this.tty });
+        await this.sync(['resume', item.name], { timeout: 60000, capture: this.env.CLAUDE_REMOTE_DEBUG !== '1' || !this.tty });
       } else {
         const endpoint = config.host + ':' + (config.port != null ? config.port + ':' : '') +
           (item.remote.startsWith('/') ? item.remote : '~/' + item.remote);
         const args = ['create', '--name', item.name, '--label', 'claude-remote=true', '--mode', 'two-way-safe',
           '--no-global-configuration', '--no-ignore-vcs', '--watch-polling-interval', '2'];
         for (const pattern of config.ignores) args.push('--ignore', pattern);
-        await this.sync([...args, item.local, endpoint], { timeout: 180000, capture: !this.tty });
+        await this.sync([...args, item.local, endpoint], { timeout: 180000, capture: this.env.CLAUDE_REMOTE_DEBUG !== '1' || !this.tty });
       }
       registry[item.name] = item;
       await writeJSON(this.registryFile, registry);
     });
-    this.log(`本地：${item.local}\n远程：${config.host}:${item.remote}\n正在完成双向同步……`);
+    this.debug(`本地：${item.local}\n远程：${config.host}:${item.remote}`);
+    this.log('正在同步…');
     await this.flush(item.name);
-    this.log('开始远程 Claude Code。退出后继续后台同步；停止请运行 claude-remote stop。');
+    this.debug('同步完成，启动远程 Claude Code。退出后继续后台同步；停止请运行 claude-remote stop。');
     let code = 1;
     try {
       code = (await this.remote(config, prefix + 'cd -- ' + remotePath(item.remote) +

package/src/installer.js

@@ -64,7 +64,7 @@ export async function ensureMutagen({ env = process.env, forceDownload = false }
     const temporary = await fs.mkdtemp(path.join(path.dirname(destination), '.mutagen-install-'));
     try {
       const archive = path.join(temporary, 'download.tar.gz');
-      console.error(`正在下载同步工具 Mutagen ${VERSION}（首次使用，可能需要几分钟）……`);
+      console.error('正在下载同步工具…');
       await download(`https://github.com/mutagen-io/mutagen/releases/download/v${VERSION}/${archiveName}`, archive);
       await verifyChecksum(archive, checksum);
       // Extract only the two required files from the authenticated archive.

package/src/local/browser.js

@@ -8,13 +8,14 @@ import { execute, exists, withLock } from '../system.js';
 const require = createRequire(import.meta.url);
 let preparation;
 
-export async function installBrowser(log = console.error) {
+export async function installBrowser(log = console.error, { debug = () => {} } = {}) {
   if (!preparation) preparation = (async () => {
     const cli = path.join(path.dirname(require.resolve('playwright/package.json')), 'cli.js');
     // Keep the lock outside Playwright's cache: its installer replaces browser directories.
     const lock = path.join(process.env.CLAUDE_REMOTE_CACHE_DIR || path.join(os.homedir(), '.cache', 'claude-remote'), 'browser-install');
     await withLock(lock, async () => {
-      log('正在准备本地受控浏览器（首次使用或升级时自动下载）……');
+      if (!await exists(chromium.executablePath())) log('正在下载浏览器…');
+      else debug('检查浏览器缓存：' + chromium.executablePath());
       // The CLI checks completion markers and prepares headed AND headless binaries.
       const result = await execute(process.execPath, [cli, 'install', 'chromium'], { capture: true, timeout: 600000 });
       if (!await exists(chromium.executablePath())) throw new Error('浏览器安装未完成：' + result.stderr);

package/src/local-mode.js

@@ -63,7 +63,7 @@ export async function launchLocal(client, config, extra, dependencies = {}) {
   const root = await fs.realpath(client.cwd), home = await fs.realpath(client.home);
   if (root === home || root === path.parse(root).root) throw new Error('请进入具体项目目录，不允许以用户目录或磁盘根目录作为项目。');
   const prepareBrowser = dependencies.installBrowser || installBrowser;
-  await prepareBrowser(client.log);
+  await prepareBrowser(client.log, { debug: client.debug });
   const gateway = await (dependencies.startLocalServer || startLocalServer)({ root, env: client.env,
     headless: client.env.CLAUDE_REMOTE_HEADLESS === undefined ? Boolean(config.browserHeadless) : client.env.CLAUDE_REMOTE_HEADLESS === '1', log: client.log });
   let tunnel, configFile;
@@ -82,7 +82,7 @@ export async function launchLocal(client, config, extra, dependencies = {}) {
       headers: { Authorization: 'Bearer ' + gateway.token }, timeout: 180000 } } };
     await remote('set -e; umask 077; mkdir -p -- ' + remotePath(remoteDirectory) + '; cat > ' + remotePath(configFile),
       { input: JSON.stringify(mcp) });
-    client.log(`本地执行模式：${root}\n文件、命令和浏览器在本机运行；项目文件不通过本模式同步。`);
+    client.debug(`本地执行模式：${root}\n文件、命令和浏览器在本机运行；项目文件不通过本模式同步。`);
     const args = localClaudeArguments(path.posix.basename(configFile), root, extra);
     // Keep the parent shell so EXIT can remove the token-bearing temporary config.
     const script = remoteEnvironment + 'cd -- ' + remotePath(remoteDirectory) + ' || exit 1; ' +

package/src/ssh-auth.js

@@ -4,6 +4,7 @@ import os from 'node:os';
 import { createHash } from 'node:crypto';
 import { sshBase } from './ssh.js';
 import { exists, quote, which, withLock } from './system.js';
+import { parseSSHPolicy, sshPolicyScript } from './ssh-policy.js';
 
 // Force a new public-key connection: an existing multiplexed/password session
 // must never be mistaken for successful key authentication.
@@ -21,7 +22,7 @@ export function authorizeKeyScript(publicKey) {
     'printf "\\n%s\\n" "$key" >> "$HOME/.ssh/authorized_keys"; fi';
 }
 
-export async function ensureSSH(client, config) {
+export async function ensureSSH(client, config, { enablePubkey = false } = {}) {
   if (!await which('ssh', client.env.PATH)) throw new Error('找不到系统 SSH 客户端。');
   const run = (args, options = {}) => client.execute('ssh', [...sshBase(config), ...args],
     { env: client.env, timeout: 30000, ...options });
@@ -38,17 +39,33 @@ export async function ensureSSH(client, config) {
     const temporary = await fs.mkdtemp(path.join(base, 'ccra-'));
     const socket = path.join(temporary, 'ssh');
     try {
-      client.log('正在配置 SSH 免密登录。首次连接请确认服务器指纹，并按 SSH 提示输入服务器密码。');
+      client.log('请按提示完成 SSH 验证。');
       // Authenticate once; subsequent installation reuses this private socket.
       // Do not capture authentication output or handle passwords in JavaScript.
       await run(['-M', '-S', socket, '-o', 'ControlPersist=no', '-o', 'ControlMaster=yes',
         '-f', '-N', config.host], { timeout: 180000, capture: false });
+      const inspect = await run(['-S', socket, config.host, 'sh -c ' + quote(sshPolicyScript({ enable: enablePubkey }))],
+        { capture: true });
+      const policy = parseSSHPolicy(inspect.stdout);
+      if (policy.backup) client.log('已开启公钥登录。配置备份：' + policy.backup);
+      if (policy.pubkeyauthentication === 'no')
+        throw new Error('服务器关闭了公钥登录（PubkeyAuthentication no），尚未生成或添加密钥。' +
+          (policy.uid === '0' ? '如需开启，请运行：claude-remote setup-ssh --enable-pubkey（备份配置、校验后重新加载，保留密码登录）。' :
+            '请联系管理员开启该账号的公钥登录，再运行 claude-remote setup-ssh。'));
+      if (policy.authenticationmethods && policy.authenticationmethods !== 'any' &&
+          !policy.authenticationmethods.split(/\s+/).includes('publickey'))
+        throw new Error('服务器 AuthenticationMethods=' + policy.authenticationmethods +
+          '，不允许仅凭公钥登录；请联系管理员确认认证策略。未修改该策略，尚未生成或添加密钥。');
+      if (policy.status !== 'ok') {
+        if (enablePubkey) throw new Error('无法读取服务器有效 SSH 配置，未自动修改服务器策略；请联系管理员检查。');
+        client.debug('无法读取服务器 SSH 策略，尝试普通公钥授权。');
+      }
       const id = createHash('sha256').update(config.host + '\0' + (config.port ?? '')).digest('hex').slice(0, 20);
       const key = path.join(directory, 'id_ed25519_' + id);
       await fs.chmod(directory, 0o700);
       if (!await exists(key)) {
         if (await exists(key + '.pub')) throw new Error('专用 SSH 私钥缺失但公钥仍存在，请检查：' + key);
-        client.log('创建仅供该服务器使用的无口令 SSH 密钥，私钥保存在本机，文件权限设为仅本人可读。');
+        client.debug('创建专用 SSH 密钥：' + key);
         await client.execute('ssh-keygen', ['-q', '-t', 'ed25519', '-N', '', '-C', 'claude-remote-cli', '-f', key],
           { env: client.env, capture: true, timeout: 30000 });
       }
@@ -74,7 +91,7 @@ export async function ensureSSH(client, config) {
       });
       if (!previous.includes(block)) await fs.appendFile(configFile, block, { mode: 0o600 });
       if (!await probe()) throw new Error('密钥已授权，但默认 SSH 配置验证失败。请检查 ~/.ssh/config 的 IdentityFile 和 IdentitiesOnly 设置。');
-      client.log('SSH 免密登录已配置并验证成功，后续连接无需输入服务器密码。');
+      client.debug('SSH 免密登录已配置并验证成功。');
     } finally {
       await run(['-S', socket, '-O', 'exit', config.host], { capture: true, check: false, timeout: 5000 }).catch(() => {});
       await fs.rm(temporary, { recursive: true, force: true });

package/src/ssh-policy.js

@@ -0,0 +1,92 @@
+import { quote } from './system.js';
+
+// configFile is injectable only for isolated filesystem tests, never a CLI flag.
+export function sshPolicyScript({ enable = false, configFile = '/etc/ssh/sshd_config', procRoot = '/proc' } = {}) {
+  return `# claude-remote-ssh-policy
+set -eu
+sshd=$(command -v sshd || true)
+if [ -z "$sshd" ] && [ -x /usr/sbin/sshd ]; then sshd=/usr/sbin/sshd; fi
+printf 'uid=%s\\n' "$(id -u)"
+if [ -z "$sshd" ]; then printf 'status=unavailable\\n'; exit 0; fi
+set -- \${SSH_CONNECTION:-}
+connection="user=$(id -un)"
+if [ "$#" -eq 4 ]; then connection="$connection,addr=$1,host=$1,laddr=$3,lport=$4"; fi
+policy() { "$sshd" -T -C "$connection"; }
+if ! current=$(policy 2>/dev/null); then printf 'status=unavailable\\n'; exit 0; fi
+${enable ? `
+if printf '%s\\n' "$current" | grep -qx 'pubkeyauthentication no'; then
+  printf '%s\\n' "$current" | grep -Eq '^authenticationmethods (any|([^ ]+ )*publickey)( |$)' || {
+    echo '服务器要求额外认证，未修改认证策略。' >&2; exit 1;
+  }
+  [ "$(id -u)" = 0 ] || { echo '自动开启公钥登录需要 root；请由管理员配置。' >&2; exit 1; }
+  [ "$(uname -s)" = Linux ] || { echo '自动开启仅支持 Linux systemd 的标准 SSH 服务。' >&2; exit 1; }
+  service=
+  for name in ssh.service sshd.service; do
+    if systemctl is-active --quiet "$name"; then service=$name; break; fi
+  done
+  [ -n "$service" ] || { echo '无法确认正在运行的 SSH 服务，未修改配置。' >&2; exit 1; }
+  pid=$(systemctl show "$service" --property=MainPID --value)
+  case "$pid" in ''|*[!0-9]*|0) echo '无法确认 SSH 服务进程，未修改配置。' >&2; exit 1;; esac
+  process_file=${quote(procRoot)}/"$pid"/cmdline
+  [ -r "$process_file" ] || { echo '无法读取 SSH 服务参数，未修改配置。' >&2; exit 1; }
+  process_args=$(tr '\\000' ' ' < "$process_file")
+  invocation=$(systemctl show "$service" --property=ExecStart --property=Environment)
+  case "$invocation $process_args" in
+    *' -f'*|*' -o'*) echo 'SSH 服务使用自定义参数，请由管理员配置；未修改配置。' >&2; exit 1;;
+  esac
+  file=${quote(configFile)}
+  [ -f "$file" ] && [ ! -L "$file" ] || { echo 'SSH 配置不是普通文件，未修改配置。' >&2; exit 1; }
+  backup=$(mktemp "$file.claude-remote.XXXXXX")
+  cp -p "$file" "$backup"
+  changed=0
+  candidate=
+  rollback() {
+    code=$?
+    trap - EXIT HUP INT TERM
+    if [ -n "$candidate" ]; then rm -f "$candidate"; fi
+    if [ "$changed" = 1 ]; then
+      cp -p "$backup" "$file"
+      if ! "$sshd" -t || ! systemctl reload "$service"; then
+        echo "恢复后的 SSH 配置校验或重新加载失败，请使用备份检查：$backup" >&2
+      fi
+      echo "开启失败，已恢复原配置；备份：$backup" >&2
+    fi
+    exit "$code"
+  }
+  trap rollback EXIT
+  trap 'exit 1' HUP INT TERM
+  # First global value wins, including over later Include files. Restrictive
+  # Match rules must pass the connection-specific check or we roll back.
+  candidate=$(mktemp "$file.claude-remote-stage.XXXXXX")
+  cp -p "$backup" "$candidate"
+  { printf 'PubkeyAuthentication yes\\n'; cat "$backup"; } > "$candidate"
+  changed=1
+  mv -f "$candidate" "$file"
+  "$sshd" -t
+  current=$(policy)
+  printf '%s\\n' "$current" | grep -qx 'pubkeyauthentication yes' || {
+    echo '当前账号的 Match 策略仍禁止公钥登录。' >&2; exit 1;
+  }
+  systemctl reload "$service"
+  changed=0
+  trap - EXIT HUP INT TERM
+  printf 'backup=%s\\n' "$backup"
+fi
+` : ''}
+printf 'status=ok\\n'
+printf '%s\\n' "$current" | while IFS=' ' read -r key value; do
+  case "$key" in pubkeyauthentication|authenticationmethods|authorizedkeysfile|permitrootlogin)
+    printf '%s=%s\\n' "$key" "$value";;
+  esac
+done
+`;
+}
+
+export function parseSSHPolicy(output) {
+  const result = {};
+  for (const line of output.split(/\r?\n/)) {
+    const index = line.indexOf('=');
+    if (index > 0) result[line.slice(0, index)] = line.slice(index + 1);
+  }
+  return result;
+}