上游代理

Claude Code 远程 (CCR) 在沙盒 GKE 容器内运行。 企业客户需要出站 HTTP 流量 — curl，Git中心CLI， npm install、Datadog 代理 — 携带注入的凭据（例如 DD-API-KEY）并可审计。 解决方案是一个 HTTPS 连接代理 本地运行于 127.0.0.1 在每个容器内，通过 WebSocket 隧道返回 Anthropic 的网关。 网关 MITM TLS，注入组织配置的标头，然后转发到真正的上游。

initUpstreamProxy() 被调用一次 init.ts 在启动时。 它运行六个步骤，每个步骤都以前一个步骤的成功为条件：

中继是本地 TCP 服务器。 客户（curl, gh, kubectl) 连接并发送标准 HTTP CONNECT host:port 请求。 中继将 WebSocket 升级到 Anthropic 的网关并双向传输字节。

两阶段连接处理

The handleData() 函数为每个 TCP 连接实现一个干净的两阶段状态机：

// Phase 1: accumulate until CRLF CRLF terminates the CONNECT header
if (!st.ws) {
  st.connectBuf = Buffer.concat([st.connectBuf, data])
  const headerEnd = st.connectBuf.indexOf('\r\n\r\n')
  if (headerEnd === -1) { /* guard: reject if > 8192 bytes */ return }
  // parse CONNECT host:port, stash trailing bytes, open WS tunnel
  openTunnel(sock, st, firstLine, wsUrl, authHeader, wsAuthHeader)
  return
}
// Phase 2: pump bytes to WebSocket (buffer if WS not open yet)
if (!st.wsOpen) { st.pending.push(Buffer.from(data)); return }
forwardToWs(st.ws, data)

穿过 WebSocket 的字节被包装在一个 UpstreamProxyChunk 协议缓冲区消息。 而不是拉进去 protobufjs 对于单个单字段消息，代码手动编码和解码：

// message UpstreamProxyChunk { bytes data = 1; }
// tag = (field 1 << 3) | wire_type 2 (length-delimited) = 0x0a
export function encodeChunk(data: Uint8Array): Uint8Array {
  const len = data.length
  const varint: number[] = []
  let n = len
  while (n > 0x7f) { varint.push((n & 0x7f) | 0x80); n >>>= 7 }
  varint.push(n)
  const out = new Uint8Array(1 + varint.length + len)
  out[0] = 0x0a
  out.set(varint, 1)
  out.set(data, 1 + varint.length)
  return out
}

标签字节总是 0x0a。 长度是标准的 protobuf varint — 每字节 7 位，MSB 设置在连续字节上。 decodeChunk 验证标签以及声明的长度是否适合缓冲区，返回 null 对于格式错误的框架和 new Uint8Array(0) 对于零长度的保活块。

startUpstreamProxyRelay() 在运行时调度：如果 typeof Bun !== 'undefined' 它调用 startBunRelay; 否则 startNodeRelay。 CCR 容器在 Node 下运行 Claude Code，而不是 Bun，因此 startNodeRelay 是生产路径。 startBunRelay 在开发人员环境中使用，必须明确测试。

主要区别：写背压

Node's net.Socket.write() 总是缓冲——a false 返回信号背压但没有字节丢失。 Bun 的 sock.write() 是否有部分内​​核写入 默默地丢弃剩余的。 Bun 继电器跟踪每个套接字中未写入的字节 writeBuf: Uint8Array[] 并将它们冲入 drain handler.

// Bun: tail-queue what the kernel didn't accept
const n = sock.write(bytes)
if (n < bytes.length) st.writeBuf.push(bytes.subarray(n))

// drain handler: flush the queue
while (st.writeBuf.length > 0) {
  const chunk = st.writeBuf[0]!
  const n = sock.write(chunk)
  if (n < chunk.length) { st.writeBuf[0] = chunk.subarray(n); return }
  st.writeBuf.shift()
}

WebSocket代理

CCR 容器位于出口网关后面 - 直接出站被阻止。 WS 升级本身必须通过 HTTP CONNECT 代理。 节点的 undici/globalThis.WebSocket 不会向全局调度程序咨询升级请求，因此节点中继导入 ws npm 包并传递一个显式的 agent。 Bun 的本机 WebSocket 接受 proxy 直接网址。

getUpstreamProxyEnv() 返回环境变量的记录 subprocessEnv() 合并到代理生成的每个子进程中 - Bash 工具、MCP 服务器、LSP、git hooks。 这可确保所有子进程流量都通过中继路由，而无需针对每个工具进行配置。

NO_PROXY：Anthropic API 排除

Anthropic API (api.anthropic.com）以三种方式列出 NO_PROXY： 作为 anthropic.com, .anthropic.com， 和 *.anthropic.com。 这是因为 NO_PROXY 解析在不同的运行时有所不同 — Bun 和 Go 使用全局匹配，Python urllib/httpx 使用后缀匹配。 可靠旁路需要所有三种形式。

继承的代理变量

子 CLI 进程（例如，会话内生成的子代理）无法重新初始化中继 — 令牌文件已取消链接。 如果父母的 HTTPS_PROXY and SSL_CERT_FILE 两者都设置在环境中， getUpstreamProxyEnv() 检测到这一点并将所有代理变量传递给孙进程，从而维护链。

提示注入和令牌

恶意提示可能会指示代理运行 gdb -p $PPID 从堆中读取会话令牌。 这 prctl(PR_SET_DUMPABLE, 0) 调用（通过 Bun FFI 进入 libc.so.6) 会阻止此操作 — 在此调用之后，内核会拒绝相同 UID ptrace。

const PR_SET_DUMPABLE = 4
const rc = lib.symbols.prctl(PR_SET_DUMPABLE, 0n, 0n, 0n, 0n)
// Linux-only; silently no-ops on macOS/Windows

双重身份验证层

中继在两个不同的点使用两个单独的凭据：

• WS升级: Authorization: Bearer <token> — 在 WebSocket 协议级别验证到 CCR 网关的中继。
• 连接隧道: Proxy-Authorization: Basic base64(sessionId:token) — 在第一个 protobuf 块中携带，授权特定的上游隧道请求。

CCR sidecar 有 50 秒的空闲超时。 中继每 30 秒发送一次 ping (PING_INTERVAL_MS = 30_000）。 并非所有 WebSocket 实现都公开 ping() 帧 API，因此中继使用应用程序级 keepalive：零长度 encodeChunk(new Uint8Array(0)) 服务器忽略但会重置空闲计时器。 pinger 存储在 ConnState.pinger 并清除于 cleanupConn().

forwardToWs() 将出站数据分割成最多 MAX_CHUNK_BYTES = 512 * 1024 (512 KB)。 这是 Envoy 的每个请求缓冲区上限。 Git 推送有效负载可以超出此范围； 分块确保它们被流式传输而不是被拒绝。

for (let off = 0; off < data.length; off += MAX_CHUNK_BYTES) {
  const slice = data.subarray(off, off + MAX_CHUNK_BYTES)
  ws.send(encodeChunk(slice))
}