Claude Code免费使用真相：三条路与一个骗局

Claude Code 已经成为 AI 编程领域最受关注的产品之一，但它的定价让不少开发者望而却步——最高档位每月超过 1000 雷亚尔。同时，网上充斥着"免费使用 Claude Code"的教程和链接。这些方法里，有些是真实可行的技术路径，有些则是精心设计的陷阱。一位巴西开发者频道对这个问题做了系统梳理，结合安全公司的研究报告，还原了"免费 Claude Code"背后的完整图景。

Claude Code 到底要花多少钱

先明确一个基本事实：Anthropic 的免费 Claude 计划不包含 Claude Code。要使用这个终端里的编程智能体，必须订阅付费计划。最便宜的 Pro 为每月 20 美元，年付折算约 17 美元；Max 起步 100 美元，顶配 200 美元。

对巴西开发者来说，账单还要叠加汇率和 IOF 税（当前约 3.5%）。按接近 5 雷亚尔的汇率计算，Pro 约合 105 雷亚尔/月，Max 100 美元档约 520 雷亚尔，顶配 Max 则突破 1000 雷亚尔。如果按 API 计费，Anthropic 自己公布的企业场景数据是每开发者每个使用日约 13 美元——这个数字在 4 月被上调了一倍多，此前为 6 美元。换算成雷亚尔加税，接近 70 雷亚尔/天，月均落在 800 到 1300 雷亚尔区间。

即便付费，用量也有天花板：额度每 5 小时重置一次，自 8 月起 Pro 和 Max 还增加了每周上限。更关键的是，这个额度与 Claude 网页对话共享——你在聊天窗口里消耗的配额，同样从 Claude Code 的池子里扣。

"免费"的第一种玩法：换个大脑

社区里流传的免费方法，核心思路是把"身体"和"大脑"拆开。Claude Code 本体是运行在本地的程序，负责读文件、执行命令；真正花钱的是背后调用的模型。而 Claude Code 支持通过配置把请求转发到其他兼容 Anthropic API 格式的服务上——这在官方文档里就有说明。

2026 年初，本地运行模型的工具 Ollama 宣布兼容 Anthropic API，官方演示了如何用开源模型驱动 Claude Code。另一条路是 OpenRouter，它聚合了多家模型，其中部分免费。但免费额度有硬性限制：每分钟最多 20 次请求，每天 50 次。充值 10 美元后可提升到每天 1000 次。

50 次请求听起来不少，但一个智能体完成单个任务就要发起多轮调用——读文件、请求模型、跑测试、再请求、修正、再请求。一个下午的 Vibe Coding 可能在咖啡凉透之前就把配额烧光。所以当有人说"我免费用 Claude Code"，多数情况下指的是"Claude Code 的外壳 + 别人的大脑"。

Anthropic API 格式指的是 Claude 系列模型对外暴露的 HTTP 接口协议，包括请求体的 messages 数组、system 字段、max_tokens 等参数，以及 x-api-key 认证头和流式响应的 SSE 事件结构。Claude Code 作为客户端，只需把 ANTHROPIC_BASE_URL 指向别处，就能把同一套请求体发给任何声称兼容该协议的服务。所谓"兼容 Anthropic API"，本质上就是这些服务实现了相同的端点路径、请求字段和响应结构，使客户端无需改动代码即可切换后端。这一设计原本是为了方便企业通过网关做审计和限流，后来却成了社区绕过订阅的接口。需要注意的是，兼容往往只覆盖最常用的子集，工具调用（tool use）、提示缓存等高级特性未必完整实现，这也是替换后端后 Claude Code 部分功能会退化的原因。

免费的代价：你的代码就是账单

免费模型不是没有成本，只是成本转移了。当大脑免费时，有人要付服务器和电费——而付账单的货币，往往就是你发给它的内容：代码、文件，甚至配置文件里忘了藏起来的密钥和密码。

多个免费模型的服务商保留用户发送数据的权利，部分会用于模型训练。OpenRouter 专门为免费模型设置了独立的隐私配置项，某些测试模型会明确提示：发送和返回的所有内容都会被模型创建者记录并可能用于训练。

另一个容易被忽视的点：自 10 月起，Anthropic 自身也可能使用用户的对话和编程会话训练新模型，适用于免费、Pro 和 Max 计划，包括 Claude Code——前提是隐私设置里的训练选项处于开启状态。开启时数据可保留最长 5 年，关闭后为 30 天。企业计划和 API 不受此规则约束。如果你的代码属于公司，走企业账号是更稳妥的路径。

还有一种"聪明"做法是共享账号：朋友订了 Max，一群人共用登录。但 Anthropic 的服务条款明确禁止与他人共享账号登录，违规者可能被随时暂停或终止访问——连订阅本身一起失去。

更黑暗的一层是安全研究者称为"AI 劫持"的模式：攻击者窃取他人密钥，用受害者的账号运行 AI，再把访问权转卖给第三方。微软曾起诉过从事此类操作的团伙，用的正是客户泄露在网上的密钥。

最危险的陷阱：假安装包

如果说前面的问题是隐私和合规，接下来这个直接威胁财产安全。3 月 31 日，Anthropic 意外将 Claude Code 的源码随 NPM 包一起发布，超过 50 万行代码迅速扩散到 GitHub。犯罪分子随即行动：一个 GitHub 仓库以"泄露版 Claude Code、企业功能全解锁、无消息限制"为卖点，出现在相关搜索的前列结果中。

下载者得到的是一个 Windows 可执行文件，内含 Vidar 木马——窃取密码、银行卡数据和浏览器历史，还附带把受害者电脑变成攻击跳板的程序。发现此事的是安全公司 Zscaler 的研究人员，其中一个仓库在 GitHub 上获得了 500 多颗星。

几周前还有另一波攻击：安全公司 Push Security 发现冒充 Claude Code 安装页面的钓鱼站，外观与官方几乎一致，通过 Google 付费广告出现在"如何安装 Claude Code"的搜索结果里。页面引导用户复制命令粘贴到终端——与官方安装方式完全相同，只是那条命令会下载密码窃取程序。骗局之所以有效，恰恰因为 Claude Code 的官方安装方式本来就是"复制一行命令粘贴到终端"，眼睛很难察觉异常。

还有一个展示最坏情况的案例：8 月，被植入病毒的 NX 工具版本发布到 NPM。恶意代码在电脑上搜寻 Claude Code、Gemini CLI 等 AI 智能体，要求它们扫描密码和密钥，并启用 Dangerously Skip Permissions（跳过权限检查）选项。最终 2349 个密钥和令牌泄露。值得注意的细节是：在大多数电脑上，AI 拒绝执行这项任务；但在 95 台机器上，它照做了。

NPM（Node Package Manager）是 JavaScript 生态的官方包仓库，npm install 会从公共注册表拉取代码并在本地执行安装脚本，因此它既是分发渠道也是攻击面。所谓"投毒"，指攻击者通过劫持维护者账号、抢注相似包名或提交恶意 PR 的方式，把恶意代码混入正常依赖或其传递依赖中。由于安装脚本（postinstall 等）默认以当前用户权限运行，恶意代码可以在用户毫无察觉的情况下读取环境变量、扫描磁盘文件、外连 C2 服务器。NX 事件属于典型的供应链攻击：受害者并未主动安装任何可疑软件，只是升级了一个日常使用的构建工具。这类攻击的防御难点在于，传统杀毒软件对合法签名的包内脚本往往放行，而依赖树又深又广，人工审计几乎不可行。

真正可行的免费路径

排除掉骗局之后，确实存在三种合法的免费方式。

访客通行证。 Pro 或 Max 订阅者可以赠送若干通行证，接收者获得 7 天免费 Pro 计划，包含 Claude Code。限制是只能给从未订阅过付费计划的人，注册需要绑卡，7 天后不取消就自动转为付费订阅。用的话，记得在手机上设个提醒。

开源贡献者计划。 Anthropic 为维护高使用量开源项目、或在过去一年内在他人项目中合入 100 个以上 pull request 的开发者提供 6 个月顶配 Max 免费。也有其他评判标准，不满足条件也可以申请。这是持续时间最长的免费路径，本质上奖励的是已经在公开构建的人——对初级开发者来说，这份履历比订阅本身更有价值。

本地模型。 通过 Ollama 在本地运行开源模型，代码不出本机，没有使用上限，也没有月底账单。代价是硬件门槛：指南建议 32GB 内存，或配备 8 至 16GB 显存的显卡，普通笔记本上会明显变慢。而且本地模型在涉及多文件协同的大型任务上，仍然落后于 Claude。

本地运行大模型依赖量化技术：把原本以 16 位浮点存储的权重压缩到 4 位或 8 位整数，从而把显存占用降到消费级显卡可承受的范围，代价是精度和推理质量的轻微损失。Ollama 在此基础上封装了模型下载、格式转换和推理调度，用户只需一条命令即可拉起服务。决定能否流畅运行的瓶颈通常不是参数量，而是显存带宽和容量：模型权重必须完整装入显存或内存，否则会退化为极慢的分页推理。文中提到的 8 至 16GB 显存大致对应 7B 至 14B 参数的量化模型，而 32GB 内存则允许在 CPU 上运行更大的模型，只是速度会明显下降。此外，本地模型在长上下文和多轮工具调用上的稳定性普遍弱于闭源前沿模型，这正是它在复杂编程任务中落后的技术原因。

免费计划会缩水

所有免费路径都有一个共同风险：它们会变。6 月，Google 推出 Gemini CLI，每天 1000 次请求免费；一年后的 6 月 18 日，它停止服务免费计划，被另一款闭源工具替代。GitHub Copilot 自 6 月起，免费版和学生版用户不再能自选模型，由 Copilot 决定；学生群体在 3 月就已经失去了选择 Claude 最强模型的权限。

免费额度适合学习和试验，但如果你把整套工作流建立在免费计划上，某天醒来它可能已经改变，且不会提前征求你的意见。

值不值得付费

按这位频道的算法：Pro 的 105 雷亚尔约等于初级开发者月薪的 2%，折合约 4 小时工作量。只要工具每月帮你省下超过 4 小时，就已经回本。1000 雷亚尔以上的顶配 Max 只对每天以此为生的人、或公司报销的场景有意义。

合理的路径是：先打好不依赖 AI 的基本功，因为最终审查代码的人是你；然后用真正免费的路径练手；等有了能覆盖成本的真实项目再订阅——不是出于落后焦虑，而是项目本身付得起这笔账。

那位在视频开头出现的"穷开发者"，想省下 105 雷亚尔，最后用密码买了单。搜索结果里第一个"免费 Claude Code"，几乎从来不是 Claude，有时甚至不是免费的。

如果你已经安装了来路不明的"Claude Code"：立即用另一台设备更换邮箱和银行等重要密码，吊销电脑上残留的 API 密钥，并运行杀毒软件。密钥一旦更换，旧的就作废了。

Dangerously Skip Permissions 是 Claude Code 提供的一个开关，开启后智能体执行 shell 命令、写文件、访问网络都不再逐条请求用户确认。它的设计初衷是配合容器或沙箱使用，在隔离环境中实现全自动的批量重构。但在普通开发机上开启它，等于把终端控制权完全交给模型：模型若被提示注入误导，或被恶意依赖操纵，就能在无人值守的情况下执行任意命令。NX 投毒事件中攻击者正是利用了这一点，向被感染的机器植入指令，要求 AI 智能体扫描本地密钥。该事件最有价值的发现不是 2349 个密钥泄露，而是大多数模型拒绝了这一明显越界的请求——这说明模型自身的安全对齐构成了一道非正式的防线，但防线并不牢靠，95 台机器上的"照做"足以说明不能把安全寄托在模型的判断上。