凭据与安全

Clauve 的原则是：长期有效的凭据只放在服务端，成员电脑上只有短期有效的部分，而且它们会自己续上。

哪些东西在哪里

客户端写入本机的凭据刻意不包含刷新令牌和过期时间：Claude Code 拿不到刷新令牌，也就无法自行续期，凭据的生命周期始终由 Clauve 控制。成员离开团队时，停用账号、归还坐席即可，不需要去改 Claude 账号的密码。

访问令牌的无感轮换

访问令牌约 8 小时过期。为了不让正在跑的任务撞上过期：

• 客户端记录访问令牌的过期时刻，剩余 30 分钟时主动请求轮换；电脑从睡眠中唤醒后会立即检查一次。
• 轮换会切到同一个账号的另一条凭据记录，额度不变，所以会话不用重启、用量显示不清零，也不占手动换席次数。
• 服务端为每个有足够凭据记录的账号预留一条空闲凭据作为备用，并发轮换时也能保证。
• 刚轮换出去的凭据 3 分钟内不会分给别人，原机器上进行中的请求不受影响。
• 实在没有备用凭据时，自动改为换席。

认证失败的兜底

clauve-cli config init 会给 Claude Code 配一个 StopFailure hook。万一请求还是遇到认证失败，hook 会先让客户端续好凭据，再让当前会话继续，而不是让任务直接中断。

服务端续签

• 刷新令牌临近到期时由服务端自动续签，失败会按原因分类（凭证失效、网络问题等）记录，并在控制台「凭据与续签」页集中展示。
• 下发坐席时如果访问令牌快过期，服务端先续好再下发。

Clauve 看得到什么

• 看得到：账号调度相关的元数据，包括租约状态、心跳、5 小时 / 7 天用量百分比、设备信息、出口国家。
• 看不到：你的代码和对话。Claude Code 的请求从成员电脑直连 Anthropic，不经过 Clauve 服务端。
• 只留在本机：桌面版的本机花费统计在本地计算，不上报。