Claude Code agent 源码泄露事件分析：从 TypeScript 源码看 Agent Runtime 的配置骨架

1. 从一次打包失误说起Agent Runtime 的配置骨架长什么样Claude Code 的源码泄露事件工程圈讨论得挺热闹。我关注的点不太一样不是“谁泄露了”“怎么泄露的”而是泄露出来的 TypeScript 代码里一个生产级 Agent Runtime 到底是怎么组织配置的。这件事的核心事实是——某次发布产物里带了 source map导致大量源码可被还原并扩散根因是发布/打包链路失误而不是什么内网被攻破的叙事。对做 Agent 产品的人来说真正有价值的是代码结构本身它把“配置加载”这件事拆成了好几个阶段每一层职责清晰这套骨架是可以直接借鉴的。如果你正在写自己的 Agent 工具或者想搞清楚 Claude Code 这类终端 Agent 的配置到底从哪来、优先级怎么排、怎么验证生效这篇会给你一套可复制的settings.json与config.toml骨架以及本地验证配置是否真正被读取的具体动作。适合谁写过 CLI 工具、正在搭 Agent Runtime、被“配置改了不生效”折磨过的开发者。下面所有代码都是骨架级别的最小可运行示例你可以直接拿去改。2. 泄露代码里最值得抄的部分配置加载链路从还原出来的src/entrypoints/init.ts看初始化顺序大致是这样的先加载配置与安全相关的环境变量再应用 mTLS、代理、证书配置然后做 API preconnect 预热接着加载 policy / remote settings最后注册清理器与退出流程治理。这个顺序不是随便排的——配置必须在任何网络请求之前完成远程策略必须在本地配置之后覆盖清理器必须最后注册。再看src/entrypoints/cli.tsx它做的是“轻入口分流”--version几乎零负载直接返回daemon / bg / remote-control 走不同路由MCP 有特殊入口。这种两段式设计轻入口 系统初始化的好处是冷启动快且配置加载只发生在真正需要它的路径上。配置来源分层也很清楚大致是settings 文件 → CLI 参数 → command 级配置 → session 级配置。权限决策同样分层allow / deny / ask并且决策原因可解释rule / hook / classifier / mode。这套“来源分层 决策分层 原因可解释”的结构是 Agent 产品落地企业场景的关键。理解了这套链路你就能明白为什么很多人改了配置却不生效——大概率是优先级搞错了或者配置根本没走到加载阶段。3. 前置准备用 TaoToken 打通模型接入在本地验证配置骨架之前你需要一个能实际发请求的模型入口。我这边用的是 TaoToken它提供 OpenAI 兼容的接口接入成本低适合做 Agent Runtime 的联调验证。第一步去控制台创建 API Key。打开 https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentconsole 登录后在 API Keys 页面新建一个 key复制保存。注意 key 只在创建时完整显示一次。第二步确认你的接入地址。API 基址是https://taotoken.net/api注意这个地址不带任何查询参数。模型对话、coding plan、接入文档分别对应模型对话https://taotoken.net/models?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentmodelsCoding Planhttps://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentcoding-plan接入文档https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentdocAPI Keyshttps://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentapi-keys第三步把 key 写进环境变量不要硬编码进代码export TAOTOKEN_API_KEYsk-你的key export TAOTOKEN_BASE_URLhttps://taotoken.net/api注意环境变量名建议统一前缀避免和系统里已有的API_KEY冲突。我踩过的坑就是本地已经有一个OPENAI_API_KEY结果 Agent 读到了旧值排查了半天。4. 可复制的配置骨架settings.json 与 config.toml现在进入正题。下面这套骨架参考了泄露代码里“来源分层”的思路把配置拆成两层settings.json管 Agent 运行时行为config.toml管模型与工具接入。先看settings.json{ runtime: { entrypoint: cli, preconnect: true, cleanupOnExit: true }, permissions: { defaultMode: ask, rules: [ { source: settings, action: allow, match: read_file }, { source: settings, action: deny, match: bash:rm -rf }, { source: cliArg, action: ask, match: bash:* } ] }, tools: { base: [read_file, search, bash, fetch], featureGated: [mcp_client, remote_control] }, mcp: { transports: [stdio, sse, streamable_http], reconnect: true, maxOutputBytes: 1048576 } }几个关键点permissions.rules里每条规则都带source这就是“来源分层”的落地——settings 来的规则和 cliArg 来的规则可以有不同的默认行为。tools.featureGated对应泄露代码里feature(...)的构建期裁剪思路运行时只暴露被允许的工具。再看config.toml管模型接入[model] provider openai-compatible base_url https://taotoken.net/api api_key_env TAOTOKEN_API_KEY model claude-sonnet-4-20250514 max_tokens 8192 timeout_seconds 60 [model.retry] max_attempts 3 backoff_ms 500 [agent] session_state true budget_tokens 200000 interrupt_on_tool_error false [mcp.servers.local_fs] transport stdio command npx args [-y, modelcontextprotocol/server-filesystem, ./workspace]api_key_env指向环境变量名而不是明文 key这是基本安全习惯。session_state true对应泄露代码里 QueryEngine 维持会话级状态的设计——不是单次请求而是多轮执行中保持一致性和可恢复性。5. 验证配置生效三个具体动作配置写完不代表生效。下面三个动作可以帮你确认配置真的被读进去了。动作一打印解析后的配置。在你的 Agent 入口加一段调试输出import { loadConfig } from ./config; const cfg loadConfig(); console.log(JSON.stringify(cfg, null, 2));运行后检查permissions.defaultMode是不是asktools.base是不是你写的那四个。如果打印出来是默认值说明配置文件路径不对。动作二发一个最小请求确认模型接入通了curl -s https://taotoken.net/api/chat/completions \ -H Authorization: Bearer $TAOTOKEN_API_KEY \ -H Content-Type: application/json \ -d { model: claude-sonnet-4-20250514, messages: [{role: user, content: reply with ok}], max_tokens: 16 }返回里能看到choices[0].message.content就说明 key 和 base_url 都对。如果返回 401检查 key 是否复制完整返回 404检查 base_url 是不是多了斜杠。动作三验证权限规则真的拦得住。故意触发一条 deny 规则# 假设你的 Agent 有 bash 工具尝试执行被 deny 的命令 your-agent run --tool bash --input rm -rf ./tmp预期结果是直接被拒绝并且日志里能看到决策原因是rule:settings:deny。如果它真的执行了说明权限层没接上回去检查permissions.rules的match字段格式。提示验证阶段建议把defaultMode设成ask这样每条没匹配到规则的调用都会停下来问你方便观察哪些工具被真正调用了。6. 本篇常见错排查配置改了不生效九成是优先级问题。settings 文件里的值会被 CLI 参数覆盖CLI 参数会被 session 级配置覆盖。先确认你改的是哪一层再看加载顺序。环境变量读不到api_key_env写的是变量名不是值。如果你写成了api_key_env sk-xxx那读出来就是字面量。另外注意 shell 里export的变量在子进程里才可见IDE 里跑和终端里跑可能不一样。MCP 连接超时stdio 传输要求 command 在 PATH 里能找到。npx找不到就写绝对路径。SSE 传输注意服务端是否要求特定的 header。工具可见但不可执行这正是泄露代码里强调的点——模型“看到”工具不等于能执行中间还有策略层和权限层。检查permissions.rules里有没有一条 deny 把整个bash:*拦掉了。会话状态丢失session_state true只是开启具体持久化位置要看你的实现。如果每轮都新建 QueryEngine 实例状态自然不保留。如果你在接入或排障过程中卡住了可以直接看接入文档 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentdoc 或者在 API Keys 页面 https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentapi-keys 重新生成一个 key 试试。想先验证模型通不通用模型对话页面 https://taotoken.net/models?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentmodels 最快。如果你是要长期跑编码 AgentCoding Plan https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentcoding-plan 会更合适。最后说个实际经验这套配置骨架我建议你先用最小集跑通——只留model和permissions两段确认请求能发出去、权限能拦住再逐步加 MCP 和 feature gate。一次性全配上出问题你根本不知道是哪一层的事。