Claude Code源码泄露：工程架构第一章导读

2026 年 3 月 31 日凌晨，安全研究员 Chaofan Shou 在 X 上发布了一条简短消息：Claude Code source code has been leaked via a map file in their npm registry。

事件本身并不复杂。@anthropic-ai/claude-code 2.1.88 版本将一个本不该出现的 cli.js.map 文件打包进了生产环境。借助这份 Source Map，社区迅速定位到了对应的 TypeScript 源码。泄露的并非模型权重、训练数据或 Anthropic 后端核心系统，而是 Claude Code 客户端与 Agent 外壳本身。

这正是本次事件最值得关注的核心所在。

过去讨论 Claude Code，大家往往只能围绕现象猜测：为什么它能在终端中持续稳定地执行任务？为什么既能修改文件、运行命令，又不会彻底失控？它是如何将工具、权限、上下文、多 Agent、IDE 集成等模块融合在一起，并且真正跑起来的？如今源码公开，许多疑问终于有了确凿的答案。

这一系列文章，旨在系统性地解析这些问题的技术细节。

1. 先说清边界：这次泄露了什么，没有泄露什么

这次公开的源码主要集中在 Claude Code 的应用层实现，即用户日常接触的部分：CLI 入口、React Ink 界面、QueryEngine、工具系统、权限控制、记忆机制、MCP 接入、多 Agent 调度、IDE 桥接等。

未公开的部分是 Claude 模型最为核心的资产：模型权重、训练数据、后端推理基础设施。这些并不在此次事件范围内。

简而言之，这不是一次“模型内部秘密”的全盘泄露；它更像是一套成熟 AI Agent 产品工程骨架的公开亮相。

对于工程视角的读者而言，这份骨架已经极具分析价值。

2. 为什么这套源码值得认真看

如果你仅仅将 Claude Code 理解为“一个调用大模型 API 的命令行工具”，那么阅读源码时大概率会感到意外。因为它的真正挑战并不在于发送 prompt，而在于把一个会聊天的模型，改造成一个能长期、稳定执行任务的终端助手。

其中至少涉及几项绕不开的工程细节：

• 它如何组织完整的 Agent 循环，决定何时继续询问模型、何时停下来执行工具。
• 它如何为 40 多个工具建立统一的注册、鉴权、执行和结果回填链路。
• 它如何处理权限，避免模型的一条指令直接在用户机器上执行危险命令。
• 它如何在有限的上下文窗口内，维护跨会话的记忆和工作状态。
• 它如何将 IDE、终端、MCP 服务及多 Agent 协作整合进同一套运行框架。

这些问题仅靠产品演示视频是无法看透的。只有深入源码，你才会发现：所谓“AI Agent 体验”，背后是一层又一层的工程壳，将模型包裹成一个可工作的系统。

这正是这件事最引人深思的地方：Claude Code 是如何将“大模型”真正转化为“工程工具”的。

3. 这系列的文章准备回答什么

本系列不会逐行抄写 50 多万行代码，那样毫无意义。更实际的做法是沿着几条重要主线，逐步拆解系统结构。

因此，后续文章将重点围绕以下问题展开：

1. Claude Code 的启动链路是怎样的？从 CLI 入口到 REPL，再到真正进入 Agent 循环，中间经过哪些层次。
2. 一次请求是如何完整执行的？用户输入、模型响应、工具调用、结果回填，这条链如何串联。
3. 工具系统是如何搭建的？为什么它能同时容纳文件编辑、命令执行、网页访问、任务分派等完全不同的能力。
4. 权限系统如何工作？哪些是硬闸门，哪些只是软提示。
5. 多 Agent 协作为何没有搅乱上下文？任务如何拆分，结果如何回收，主助理如何保持可控。
6. MCP 接入层的重要性何在？它解决的究竟是“协议兼容”问题，还是“能力扩展”问题。
7. 整个项目的目录结构和模块边界如何划分？哪些目录是核心骨架，哪些更像适配层和外围设施。

你会发现这些问题都非常具体。因为真正有用的源码分析，不是喊一句“架构很先进”，而是把关键连接点一个个找出来。

4. 目标读者画像

本系列面向以下技术群体：

5. 这系列的文章怎么读

如果你想先抓住全局，建议按以下顺序阅读：

1. 《项目架构总览与分层设计哲学》
2. 《CLI 启动链路的分流策略与按需加载机制》
3. 《一次请求的完整生命周期与流式执行引擎设计》
4. 《工具框架的三层装配线》
5. 《权限系统的四道闸门与纵深防御机制》
6. 《多 Agent 协作机制与上下文隔离策略》
7. 《MCP 接入层设计》
8. 《Claude Code 与架构的总结展望》

这基本是一条从外到内的探索路线。

先看整体目录和模块分层，了解仓库的布局；再看程序从哪里启动；接着看一次真实请求如何在系统内部流转；最后深入拆解工具、权限、多 Agent 和 MCP 这些决定产品能力上限的核心模块。

如果你更偏重工程实现，可以直接从《一次请求的完整生命周期与流式执行引擎设计》开始。那篇最接近“Claude Code 到底如何跑起来”的核心问题。

如果你更关注安全视角，则优先看《权限系统的四道闸门与纵深防御机制》和《MCP 接入层设计》。这两部分最能体现 Anthropic 在“给模型放权”方面的谨慎程度，也能看出其精细之处以及工程上的妥协。

5. 为什么这事不只是八卦和炒作

源码泄露固然具有新闻性，但如果只把它当作一场热闹，能留下的东西其实不多。

更值得关注的是另一层：Claude Code 将许多原本散落在论文、Demo 和创业项目中的想法，做成了一套真正能交付给用户的生产系统。它未必每个设计都新颖，也未必每个实现都完美，但它足够完整。完整到你可以顺着目录树往下走，看到一个生产级 AI Agent 产品由哪些零件拼装而成。

这非常少见。

更罕见的是，它并非一个专门用于“展示架构理念”的教学项目，而是一套真正服务真实用户的商业产品。正因如此，其中的许多设计不是“最优雅”的，而是“最能落地”的。对工程分析而言，这种实战案例反而更具参考价值。

6. 带着重点阅读

阅读这组文章时，可以重点关注以下几个判断：

第一，Claude Code 的核心不只是模型调用，而是围绕模型搭建的执行系统。

第二，真正决定体验上限的，往往不是 prompt 写得多花哨，而是工具、权限、状态和上下文的编排方式。

第三，所谓“AI 原生应用”的门槛，很多时候不在模型层，而在于外面那层厚厚的工程壳。

如果后续的源码分析能把这三点讲清楚，那么这组文章就没有白写。

7. 最后说一句

本系列只讨论已公开传播的技术线索与工程实现，不提供泄露文件的获取方式，也不鼓励传播原始代码包。我们关注的是架构分析，而非二次分发。

如果你准备开始阅读正文，最合适的第一站是《从Claude Code泄露源码看工程架构：项目架构总览与分层设计哲学》。先摊开地图，后续再深入每一条链路，会轻松许多。