---
title: "Claude 账户注册与 API Key 授权配置"
description: "装好命令行工具后的第一道关：选订阅登录还是 Key 认证，把凭据放进环境变量，验证链路，再按环境隔离与轮换。"
updated: 2026-11-13
canonical: https://docai.cc/learn/account-and-api-key-setup/
markdown_mirror: https://docai.cc/learn/account-and-api-key-setup.md
---
## 先选一种凭据

装好命令行工具后，第一件事是让它知道「你是谁」。常见做法有两条：用订阅账户登录，或者改用接口密钥。两条路都能走通，代价不同，切换时的麻烦程度也不一样。

| 方式 | 适合谁 | 费用怎么算 | 要注意 |
|---|---|---|---|
| 订阅账户登录 | 个人日常使用 | 含在订阅额度里 | 换电脑要重新授权 |
| Key 方式 | 团队、脚本、自动化 | 按实际调用量计费 | 泄露会被人盗刷 |

个人用户优先选订阅登录，配置最短，也不用自己保管密钥；缺点是换一台机器就要重新授权一遍。需要把工具放进流水线、或者多人共用一份额度时，再考虑 Key。各订阅档位是否包含命令行工具、额度给到多少，以官网当前页面为准，不要照抄旧教程里的数字。

## 注册与首次授权：按顺序做

选订阅登录的话，完整流程是五步：

1. 打开 claude.ai，点注册，用邮箱或 Google 账号创建账户；
2. 收验证邮件并点确认，没收到先查垃圾箱；
3. 登录后在订阅页面确认当前档位是否包含命令行用量，档位与价格以官网为准；
4. 回到项目目录运行 `claude`，按提示在浏览器里点授权；
5. 看到成功页后回终端，随便问一句确认能正常回答。

授权完成前不要关终端，否则要重新走一遍。注册邮箱要选能长期收信的地址：公司邮箱在离职后会失效，找回账号时会很麻烦。订阅和 API Key 可以放在同一个账户下，但两边的账单分开计算，核对用量时别把两笔混在一起。

## 订阅登录：浏览器授权一次

在项目目录里直接启动：

```bash
claude
```

第一次运行会打印一段欢迎信息，并提示打开浏览器。登录后点授权，回到终端即可。浏览器没有自动弹出时，把终端里显示的地址复制到手边浏览器，效果一样。凭据细节可以对照[API Key 与认证方式](/concepts/api-key/)。

登录状态可以用会话里的 `/status` 查看，也可以单独跑 `--version` 确认装的是哪个版本。要换账号，用 `/login` 重新走一遍；离开公用电脑前，用 `/logout` 把凭据清掉。

这里有一个容易忽略的点：授权跟着当前系统用户走，不是跟着项目走。同一台机器上的所有项目共享这份登录态。

## Key 方式：创建、存放、隔离

到开发者控制台建一个 Key，名字写清楚用途，例如「本机开发」或「CI 构建」。创建后的完整字符串只显示一次，关掉页面就再也看不到，先存进密码管理器。

接着把它放进环境变量，不要写进源码。官方控制台签发的 Key 一般用 `ANTHROPIC_API_KEY`；如果走第三方中转，服务方往往要求改用 `ANTHROPIC_AUTH_TOKEN`，两者不要同时留在同一个 shell 里：

```bash
export ANTHROPIC_API_KEY="sk-ant-..."
claude
```

只想让当前终端生效，就这样临时导出。想长期生效，把同样一行写进终端启动脚本，再重新打开窗口。项目里也可以放一个环境文件，配合自动加载工具使用；这个文件必须进版本控制的忽略清单，绝不能提交。

区分环境是底线：本机、测试、线上各用一把 Key。哪一把泄露，就只吊销那一把，不至于全线停摆。

## 三条配置路径，选一条

把 Key 交给工具，常见三种做法，代价不同：

| 做法 | 怎么写 | 生效范围 | 要注意 |
|---|---|---|---|
| 临时导出 | `export ANTHROPIC_API_KEY="sk-ant-..."` | 当前终端窗口 | 关窗即失效，适合先试通 |
| 写进启动脚本 | 同一行放进 `~/.zshrc` 或 `~/.bashrc`，再 `source` | 当前用户的所有项目 | 所有项目共用一把 Key |
| 项目环境文件 | `.env` 配合自动加载工具 | 单个项目 | 必须先确认已列入忽略清单 |

`.zshrc` 与 `.bashrc` 选哪个看你的 shell：macOS 默认多为 zsh，多数 Linux 服务器是 bash；不确定时运行 `echo $SHELL` 看结果。写进启动脚本后，要让新配置生效，可以关掉终端重开，或执行 `source` 对应文件。项目文件这条路最干净，但每次换机器都要重建，适合团队统一约定。

## 把额度和风险管起来

控制台里能看到用量曲线与费用明细，计费单位的概念见[Token](/concepts/token/)。先把月度上限设好，再开始写代码；限额触发后请求会被拒绝，比月底收到账单才发现超支要好。

三条习惯值得坚持：

- 不把 Key 贴进聊天工具、邮件或工单；
- 不在公开仓库里留任何以 `sk-ant` 开头的字符串；
- 定期轮换，尤其是有人离职或换机器之后。

怀疑泄露时，先在控制台吊销旧 Key，再新建一把，最后在仓库里搜一遍前缀，确认没有硬编码。顺序不能反：先断掉旧的，再排查。

## 验证与常见卡点

用一个最小请求确认链路通不通：

```bash
claude -p "只回复两个字：收到"
```

能正常返回，说明凭据和网络都没问题。返回鉴权错误，多半是 Key 复制不全、变量没生效，或者用错了环境；一直转圈或超时，则是网络层的问题，和 Key 无关。两者的排查方向完全不同，别混在一起。

再细分一层，按返回类型对号入座：

| 现象 | 为什么 | 怎么办 |
|---|---|---|
| 401 或鉴权失败 | Key 不完整、变量没生效、旧 Key 已被吊销 | 重新复制；新开终端确认变量存在；回控制台看 Key 状态 |
| 403 或权限不足 | 这把 Key 所属工作区没有目标模型权限，或账户欠费 | 换工作区或换 Key，检查账单状态 |
| 429 或限流 | 并发或单位时间调用量超限 | 退避重试，降低并发，别连续猛敲 |
| 一直超时 | 代理、DNS 或地区网络问题 | 换网络复测，检查代理变量，与 Key 无关 |
| 返回内容被截断 | 输出上限或停止条件命中 | 调高输出上限，检查提示里有没有停止词 |

怀疑 Key 已经进了仓库，用一条命令扫一遍：

```bash
grep -r "sk-ant" . --exclude-dir=.git
```

有输出就按「先吊销、再新建、最后清理提交历史」的顺序处理，不要只把文件改掉就算完。

几种场景的处理：多人共用的机器不要保存长期 Key，用完就 `/logout`；团队与 CI 各建独立 Key 并设额度上限，不要全组共用一把；本地离线试用则不必配 Key，先用免费额度跑通流程更划算。

想看当前身份，用 `/status`；想确认计费方式，回控制台看这把 Key 属于哪个工作区。

账户打通之后，下一步是让它认识你的项目：把常用命令、禁区与风格写进项目记忆文件。继续看[基本配置选项](/learn/basic-configuration-options/)。