Claude Code 封禁的常见手段：五层信号与 2026 年的隐写标记
社区里流传的解释大多只有一个版本——"它查你 IP"。这个说法在细节上是错的。真实的判定是多层叠加的，而其中最出名的那个机制，恰恰没有读取 IP。
判定分五层：账号与实体核验、环境信号、网络与中转域名、请求侧标记、行为模式。其中 2026 年被公开的请求侧标记最有代表性——它只在设置了 ANTHROPIC_BASE_URL 时启动，读的是系统时区和base URL 域名，把结论编码进肉眼无法分辨的字符里。运行约三个月，2026 年 7 月被研究者公开后移除。
判定不是单一开关
把已知公开的信息按层拆开，是理解这件事的唯一有效方式。因为每一层的"你能控制多少"差别巨大，混在一起谈就必然得出"多换几个节点试试"这种无效结论。
| 层 | 主要信号 | 你能控制吗 |
|---|---|---|
| 账号 | 注册主体、支付方式、公司股权归属 | 几乎不能 |
| 环境 | 系统时区、首选语言、区域格式、指纹 | 能，最该做的一层 |
| 网络 | 出口 IP 的国家与城市、中转域名 | 部分能，影响常被高估 |
| 请求 | 客户端随请求带出的内容 | 不能（除非改客户端，那是违规） |
| 行为 | 并发、速率、共享、注册节奏 | 能，且属于合规范围 |
第 1 层：账号与实体核验
最基础也最决定性的一层。判定依据是账号归属，包括注册主体、支付方式所属国家与机构、以及（对企业客户而言）股权结构是否符合"受限区域公司持股超过 50%"这一条的排除范围。
这一层的特点是不需要任何技术手段——它靠的是你自己提交的信息。这也是为什么"技术流方案"在它面前全部失效：你没法用网络技巧改变一张信用卡的开户行。
第 2 层：环境信号
系统时区、首选语言、区域格式、浏览器指纹。这些是客户端和网页都会如实读取的项，不需要额外权限。
这一层之所以重要，是因为它极易自相矛盾而当事人毫无察觉：笔记本时区停在出发前、浏览器语言是另一套、网络出口又在第三地。三者互不匹配时，不需要任何复杂检测就能识别为异常。具体怎么对齐，见第 8 篇。
第 3 层：网络与中转域名
出口 IP 的国家与城市是传统风控信号，但它的权重常被高估——真实用户的出口本来就会变。更值得注意的其实是域名。
根据 2026 年公开的第三方逆向分析，客户端内置了一份约 147 个域名的名单，用于匹配你在 ANTHROPIC_BASE_URL 里填写的地址。名单内容被描述为包括 .cn 顶级域、若干国内互联网公司域名、部分内网域名，以及大量第三方 API 中转服务。
第 4 层：请求侧标记（2026 事件）
这是整件事里最值得认真讲清楚的部分，也是大量二手信息失真最严重的地方。以下内容来自公开的第三方逆向分析报道，官方从未逐条确认细节。
触发条件
机制并非无条件运行。据报道，只有在设置了 ANTHROPIC_BASE_URL——也就是把请求指向非官方地址时——它才启动。直连官方 API 时不触发。对国内用户来说这一条几乎等于全覆盖，因为直连官方正是最困难的一步。
两条识别路径
- 读系统时区。时区为
Asia/Shanghai或Asia/Urumqi时命中。大多数人即使换了网络也不会改系统时区，所以这一条命中率极高。 - 比对域名名单。把
ANTHROPIC_BASE_URL里的域名与内置名单匹配。名单本身以混淆方式存储。
结论怎么被送出去
这是整套机制里最精巧的地方：不额外发请求，不产生可疑流量，而是把结论编码进系统提示词里两个看起来完全正常的字符。
- 日期分隔符。命中时区时，形如
2026-06-30的日期会被写成2026/06/30，连字符变斜杠。 - 撇号的码点。把
Today's里的那个撇号，替换成四种视觉上几乎无法区分、但在编码层面完全不同的字符之一。
按分析报道给出的对应关系（服务端只需扫一眼码点就能读出结论）：
| 码点 | 显示 | 对应结论 |
|---|---|---|
U+0027 | ' | 普通 ASCII 撇号，未命中任何名单 |
U+2019 | ' | 命中域名名单 |
U+02BC | ʼ | 命中特定关键词 |
U+02B9 | ʹ | 两类同时命中 |
四种字符在编辑器里几乎无法分辨，但在机器层面是完全不同的值。这正是它能长期不被发现的原因——它不改变任何可见内容，也不产生任何额外网络行为。
它什么时候消失的
该机制运行约三个月，在研究者公开分析之后于 2026 年 7 月被移除。官方对此的表述是它属于一次实验。
这个结局本身比机制细节更值得记住：它说明这是一场移动靶游戏。你今天研究清楚的检测方式，下个版本可能就不存在了；反过来，新的方式也会在你不知道的时候出现。任何以"绕过检测"为核心的技术方案，半衰期都很短——这正是专题第 3 条路线不划算的根本原因。
第 5 层：行为模式
这一层与区域政策无关，纯粹是平台风控的常规内容，但它是社区封号故事里被误读最多的一层：
- 同一账号多地并发。两个城市同时调用，或一天内跨越多个大洲。
- 速率异常。远超个人正常使用的请求密度，典型特征是脚本化的固定间隔。
- 账号共享与转售。一个订阅被多个不同的人使用。
- 批量注册。短时间、同设备、同支付渠道的多个新账号。
这四条里没有任何一条需要高级检测手段。它们也是为什么"我只是和同事合用一个号"这种常见做法风险极高——它命中第四层和第五层，与你用不用代理毫无关系。
事后：申诉邮件里的追踪像素
还有一个细节值得单独说：有报道指出，封号通知邮件里嵌入了 1×1 的追踪像素。你一打开邮件，图片自动加载，发件方就能拿到你打开时的真实 IP 与设备信息。
这在营销邮件里是常规操作，但出现在封号通知里含义就不一样了——它构成了对你实际所在地的二次确认。知道这一点至少能让你在打开邮件时有所准备，尤其是在你正准备申诉的时候。
时间线
| 时间 | 事件 |
|---|---|
| 2025 年 9 月 | 限制扩大到"由受限地区公司直接或间接持股超过 50% 的实体" |
| 2026 年上半年 | 请求侧标记机制运行，约持续三个月 |
| 2026 年中 | 第三方逆向分析公开，开发者社区大面积讨论 |
| 2026 年 7 月 | 该机制被移除，官方称其为实验 |
| 2026 年 10 月 | 合规文档仍要求客户端不得修改、不得禁用内置认证方式 |
它不是什么
澄清这一点比列举手段更重要，因为错误理解会导致错误决策。
不是后门。后门通常指外部能远程进入你系统的隐藏通道。这里的方向正好相反：信息是单向随请求带出的标记，没有打开入站通道。
不是远程代码执行。没有迹象表明它能执行任意代码。
不是上传你的源代码。被讨论的是提示词中几个特定字符的替换，不是文件内容的回传。
但仍然是一个合理的不满。未经披露就往请求里附加标记，与"透明"的产品承诺之间存在明显张力。这场讨论的价值不在于阴谋论，而在于它把"客户端到底在做什么"变成了一个正当的工程问题。
Claude Code 真的在请求里藏了追踪标记吗？
2026 年有第三方逆向分析指出：设置了 ANTHROPIC_BASE_URL 时，客户端会读取系统时区、比对内置域名名单，再把结果编码进系统提示词中肉眼难辨的字符。该机制在研究者公开后、于 2026 年 7 月被移除，官方称其为实验。
这个标记是不是后门？
不是。后门指外部可远程进入你系统的隐藏通道；这里是单向随请求带出的标记，没有入站通道，也不涉及远程执行。叫它后门在技术上不准确，但"未经披露就附加标记"这一点成立。
知道这些能帮我躲过封禁吗？
基本不能。判定多层叠加，账号归属与请求内容两层你改不动；能改的环境层也只是降低误判概率，不改变资格。了解机制的价值在于判断信息真伪、不为无效方案付费，以及理解为什么要做一致性。想减少损失，请看第 5 篇。