Claude Code 源码泄露事件始末#

1
源代码（人类可读）→ 编译/打包 → 生产代码（机器可执行）

1
// 源代码（人类写的，可读性好）
2
function calculateTotalPrice(items: Item[]): number {
3
    let total = 0;
4
    for (const item of items) {
5
        total += item.price * item.quantity;
6
    }
7
    return total;
8
}

1
// 生产代码（压缩后的，计算机能运行但人看不懂）
2
function c(t){let n=0;for(const e of t)n+=e.price*e.quantity;return n;}

1
压缩代码位置          →        原始代码位置
2
────────────────────────────────────────
3
c(t){...} 第1行      →       calculateTotalPrice 函数
4
n+=e.price... 第3行  →       total += item.price * item.quantity

1
npm pack @anthropic-ai/claude-code@2.1.88

1
# 解压
2
tar -xzf anthropic-ai-claude-code-2.1.88.tgz

1
package/
2
├── cli.js                 13.0MB     ← 这是 Claude Code 的主程序
3
├── cli.js.map             59.8MB     ← ⭐ Source Map！这就是泄露源头
4
├── package.json           1.2kB      ← 包的信息配置文件
5
├── README.md              2.0kB      ← 说明文档
6
└── vendor/                           ← 第三方依赖库

1
sources[0]         → "src/main.ts"         ← sourcesContent[0] 的代码
2
sources[1]         → "src/utils/helper.ts" ← sourcesContent[1] 的代码
3
sources[2]         → "src/core/QueryEngine.ts" ← sourcesContent[2] 的代码
4
...                                  ...
5
sources[i]         → 路径                   ← sourcesContent[i] 的代码

1
// 这是一个 Node.js 脚本，用来从 Source Map 里提取原始代码
2

3
// 首先定义要用的工具（这些是 Node.js 内置的功能）
4
import { readFileSync, writeFileSync, mkdirSync } from "fs";
5
import { resolve, dirname } from "path";
6

7
// 从命令行参数获取要处理的文件
8
const mapFile = process.argv[2];           // 第二个参数：.map 文件路径
9
const outDir = process.argv[3] || "./src"; // 第三个参数：输出目录
10

11
// 检查参数
12
if (!mapFile) {
13
  console.error("用法: node extract-sourcemap.mjs <source-map文件> [输出目录]");
14
  process.exit(1);
15
}
16

17
console.log(`正在读取 ${mapFile} ...`);
18

19
// 读取并解析 .map 文件（它是一个 JSON 文件）
20
const map = JSON.parse(readFileSync(mapFile, "utf8"));
21

22
// 确认文件格式正确
23
if (!map.sources || !map.sourcesContent) {
24
  console.error("错误: 这个 .map 文件格式不对，缺少 sources 或 sourcesContent");
25
  process.exit(1);
26
}
27

28
console.log(`发现 ${map.sources.length} 个源文件`);
29

30
let written = 0;  // 成功写入的文件数
31
let skipped = 0;   // 跳过的文件数
32

33
// 遍历所有源文件
34
for (let i = 0; i < map.sources.length; i++) {
35
  const src = map.sources[i];              // 第 i 个文件的路径
36
  const content = map.sourcesContent[i];   // 第 i 个文件的原始代码
37

38
  // 跳过第三方依赖（node_modules）
39
  if (src.includes("node_modules")) {
40
    skipped++;
41
    continue;
42
  }
43

44
  // 跳过没有内容的文件
45
  if (content == null) {
46
    skipped++;
47
    continue;
48
  }
49

50
  // 清理文件路径（把 ../ 去掉）
51
  const cleaned = src.replace(/^(\.\.\/)+(\.\/)?/, "");
52
  const outPath = resolve(outDir, cleaned);
53

54
  // 创建目录（如果不存在）
55
  mkdirSync(dirname(outPath), { recursive: true });
56

57
  // 把原始代码写入文件
58
  writeFileSync(outPath, content);
59
  written++;
60
}
61

62
// 完成！
63
console.log(`完成！共写入 ${written} 个文件到 ${outDir}（跳过了 ${skipped} 个）`);

1
cd package                                    # 进入 package 目录
2
node extract-sourcemap.mjs cli.js.map ./src  # 运行脚本

1
正在读取 cli.js.map ...
2
发现 4756 个源文件
3
完成！共写入 1906 个文件到 ./src（跳过了 2850 个）

1
src/
2
├── main.ts                        ← 主入口文件
3
├── core/
4
│   ├── QueryEngine.ts             ← 查询引擎
5
│   ├── tools/                     ← 工具目录
6
│   │   ├── Read.ts                ← 读取文件工具
7
│   │   ├── Write.ts              ← 写入文件工具
8
│   │   ├── Edit.ts               ← 编辑文件工具
9
│   │   └── Bash.ts               ← 执行命令工具
10
│   └── ...
11
├── services/
12
├── utils/
13
└── ...

1
✅ 应该包含：
2
├── cli.js           ← 主程序代码（必须的）
3
├── package.json     ← 包信息（必须的）
4
└── README.md        ← 说明文档（可选）
5

6
❌ 不应该包含：
7
├── *.map            ← Source Map（调试用，上线后不需要）
8
└── node_modules/    ← 第三方依赖（用户安装时会自动下载）

1
"整体代码结构很成熟，整个 repo 分得很细，主流程包括 REPL 启动、
2
QueryEngine、工具注册、Slash 命令、权限系统、任务系统，
3
以及多层状态管理，非常典型的生产级 AI agent 设计。"
4
—— 社区开发者
5

6
"真正有价值的，从来不是'这是不是官方泄露的'，
7
而是你能从里面看到它是怎么被做出来的。"
8
—— 评论