行 Shannon：生成 OAuth Token 免 API 賬單)
如何用 Claude Code 訂閱運(yùn)行 Shannon生成 OAuth Token 免 API 賬單【免費(fèi)下載鏈接】shannonShannon is an AI pentester for web applications and APIs. It analyzes your source code, identifies attack vectors, and executes real exploits to prove vulnerabilities before they reach production.項(xiàng)目地址: https://gitcode.com/GitHub_Trending/shan/shannonShannon 是 Keygraph 開(kāi)源的 AI 滲透測(cè)試工具它會(huì)分析你的源碼、規(guī)劃攻擊路徑并對(duì)運(yùn)行中的 Web 應(yīng)用和 API 執(zhí)行真實(shí)漏洞利用來(lái)生成帶 PoC 的報(bào)告。默認(rèn)情況下它消耗 API 額度按量計(jì)費(fèi)如果你已有 Claude Code 訂閱Shannon 提供了一條走訂閱的路徑用 Claude Code 生成的 OAuth Token 作為 Anthropic 憑據(jù)滲透測(cè)試的模型調(diào)用費(fèi)用只占用你現(xiàn)有訂閱不再產(chǎn)生額外的 API 賬單。本文按 README.md 和 docs/ai-providers.md 給出的步驟帶你從生成 Token 到跑通第一次掃描。準(zhǔn)備條件按 README.md Quick Start 的 Prerequisites運(yùn)行 Shannon 需要Dockerworker 容器必需Shannon 會(huì)拉取 worker 鏡像并在臨時(shí)容器里執(zhí)行掃描Node.js 18npx工作流所需一個(gè)可用的 Claude Code 訂閱訂閱路徑依賴(lài)claudeCLI 的setup-token命令生成 Token與 AI 提供商完成網(wǎng)絡(luò)安全場(chǎng)景的合規(guī)確認(rèn)Anthropic 會(huì)對(duì)網(wǎng)絡(luò)安全類(lèi)工作負(fù)載啟用實(shí)時(shí)防護(hù)real-time cyber safeguards如果防護(hù)在運(yùn)行中途觸發(fā)模型可能拒絕執(zhí)行掃描會(huì)在中途失敗而不是開(kāi)始時(shí)失敗。docs/ai-providers.md 要求你在首次掃描前按提供商指引完成其要求的驗(yàn)證或登記。另外注意運(yùn)行對(duì)象Shannon 會(huì)主動(dòng)創(chuàng)建用戶(hù)、提交表單、改變應(yīng)用狀態(tài)并產(chǎn)生出站流量README.md 明確要求只對(duì)自己擁有或持有書(shū)面授權(quán)的目標(biāo)運(yùn)行且不要指向生產(chǎn)系統(tǒng)。目標(biāo)建議選沙箱、staging 或本地開(kāi)發(fā)環(huán)境。生成 Claude Code OAuth Token在已安裝claudeCLI 的終端中執(zhí)行claude setup-token命令會(huì)輸出一段 OAuth Token記下它下一步配置時(shí)要用。用 OAuth Token 配置 ShannonREADME.md 指出shannon-v1分支是最后一個(gè)基于 Claude Agent SDK 的版本因此訂閱路徑固定在 1.9.0 上執(zhí)行配置向?qū)px keygraph/shannon1.9.0 setup向?qū)Ы换ナ?TUI依次會(huì)問(wèn)Select your AI provider—— 選AnthropicAuthentication method—— 選OAuth Token而不是 API KeyEnter your OAuth token—— 粘貼上一步claude setup-token生成的 Token輸入是隱藏回顯的Model—— 選一個(gè)貫穿所有掃描階段的模型。向?qū)Ыo出的 Anthropic 建議模型按優(yōu)先級(jí)為claude-sonnet-4-6、claude-opus-4-8、claude-opus-4-7、claude-haiku-4-5-20251001見(jiàn) docs/ai-providers.md Suggested models。文檔同時(shí)強(qiáng)調(diào) Claude 模型是支持最好的選項(xiàng)Shannon 的評(píng)估、內(nèi)部測(cè)試和 agent harness 都是圍繞 Claude 調(diào)優(yōu)的。配置完成后向?qū)?huì)把憑據(jù)寫(xiě)入~/.shannon/config.toml并打印類(lèi)似Configuration saved to ~/.shannon/config.toml的確認(rèn)信息以及 Provider、Model 匯總。如果你不走向?qū)?、而是用環(huán)境變量配置docs/ai-providers.md 的憑據(jù)表列出 Anthropic 提供商接受的變量為ANTHROPIC_API_KEY或CLAUDE_CODE_OAUTH_TOKEN——即直接export CLAUDE_CODE_OAUTH_TOKENtoken也能完成鑒權(quán)。啟動(dòng)第一次滲透測(cè)試配置好憑據(jù)后把-u換成你要測(cè)試的應(yīng)用地址、-r換成該應(yīng)用源碼倉(cāng)庫(kù)在本機(jī)的路徑npx keygraph/shannon1.9.0 start -u https://your-app.com -r /path/to/your-repo-u目標(biāo) Web 應(yīng)用或 API 的 URL。測(cè)試本地應(yīng)用時(shí)Docker 容器內(nèi)訪問(wèn)不到宿主機(jī)的localhostdocs/platforms.md 要求改用host.docker.internal例如-u http://host.docker.internal:3000-r目標(biāo)源碼倉(cāng)庫(kù)路徑倉(cāng)庫(kù)在 worker 容器內(nèi)以只讀方式掛載可選的-w name給本次運(yùn)行起一個(gè)工作區(qū)名字方便之后恢復(fù)和查看。啟動(dòng)后 Shannon 會(huì)先跑 preflight 校驗(yàn)詳見(jiàn) docs/ai-providers.md Validation 一節(jié)再拉取 worker 鏡像、啟動(dòng)本地基礎(chǔ)設(shè)施、在臨時(shí)容器內(nèi)執(zhí)行掃描。驗(yàn)證運(yùn)行與收取報(bào)告判斷 Token 是否真正生效看掃描是否能通過(guò) preflight 進(jìn)入運(yùn)行階段。這些校驗(yàn)在掃描開(kāi)始前執(zhí)行目的是讓錯(cuò)誤當(dāng)場(chǎng)失敗而不是跑一半才發(fā)現(xiàn)Provider—— 對(duì)照 harness 已知的提供商校驗(yàn)不認(rèn)識(shí)的提供商會(huì)被直接拒絕并給出有效列表Model ID—— 對(duì)照該提供商的 harness 目錄校驗(yàn)拼寫(xiě)錯(cuò)誤會(huì)立刻被發(fā)現(xiàn)Credential presence—— 校驗(yàn)所選提供商的憑據(jù)是否存在Credential validity—— 對(duì)掃描要使用的模型發(fā)一次最小請(qǐng)求被拒絕的 Token、耗盡的額度、賬號(hào)無(wú)法訪問(wèn)的模型都會(huì)在任何 agent 啟動(dòng)之前失敗。也就是說(shuō)如果你的 OAuth Token 無(wú)效或訂閱額度不足失敗會(huì)發(fā)生在開(kāi)始階段錯(cuò)誤信息直接指向憑據(jù)問(wèn)題。運(yùn)行中可以用以下命令跟蹤狀態(tài)workspace換成你的工作區(qū)名npx keygraph/shannon workspaces可列出全部工作區(qū)npx keygraph/shannon1.9.0 logs workspace npx keygraph/shannon1.9.0 status成功條件是產(chǎn)出最終報(bào)告在npx模式下工作區(qū)存放在~/.shannon/workspaces/報(bào)告以Security-Assessment-Report.md出現(xiàn)在工作區(qū)根目錄運(yùn)行內(nèi)部文件交付物、日志、提示詞、會(huì)話狀態(tài)都在隱藏的.shannon/目錄里見(jiàn) docs/development.md 與 docs/workspaces.md。已知限制版本范圍走 Claude Code 訂閱的是shannon-v1分支對(duì)應(yīng)的 1.9.0 系列README 稱(chēng)其為最后一個(gè)基于 Claude Agent SDK 的版本升級(jí)到更新版本時(shí)以各版本文檔為準(zhǔn)。成本與時(shí)長(zhǎng)按 docs/safety.md一次完整測(cè)試通常約 1 到 1.5 小時(shí)訂閱路徑下 README.md 的表述是費(fèi)用只占你現(xiàn)有訂閱不再額外計(jì)費(fèi)。中途失敗風(fēng)險(xiǎn)前面提到的 Anthropic 實(shí)時(shí)網(wǎng)絡(luò)安全防護(hù)如果在運(yùn)行中途觸發(fā)掃描會(huì)半途失敗而非開(kāi)始時(shí)失敗所以首次掃描前完成提供商要求的驗(yàn)證/登記步驟是必要的前置動(dòng)作。報(bào)告仍需人工復(fù)核Shannon 采用 proof-by-exploitation但文檔明確最終報(bào)告仍可能包含支撐不足或不準(zhǔn)確的細(xì)節(jié)人工 review 是必須的完整測(cè)試前建議先閱讀 docs/safety.md?！久赓M(fèi)下載鏈接】shannonShannon is an AI pentester for web applications and APIs. It analyzes your source code, identifies attack vectors, and executes real exploits to prove vulnerabilities before they reach production.項(xiàng)目地址: https://gitcode.com/GitHub_Trending/shan/shannon創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考 如何用 Claude Code 訂閱運(yùn)行 Shannon：生成 OAuth Token 免 API 賬單
如何用 Claude Code 訂閱運(yùn)行 Shannon生成 OAuth Token 免 API 賬單【免費(fèi)下載鏈接】shannonShannon is an AI pentester for web applications and APIs. It analyzes your source code, identifies attack vectors, and executes real exploits to prove vulnerabilities before they reach production.項(xiàng)目地址: https://gitcode.com/GitHub_Trending/shan/shannonShannon 是 Keygraph 開(kāi)源的 AI 滲透測(cè)試工具它會(huì)分析你的源碼、規(guī)劃攻擊路徑并對(duì)運(yùn)行中的 Web 應(yīng)用和 API 執(zhí)行真實(shí)漏洞利用來(lái)生成帶 PoC 的報(bào)告。默認(rèn)情況下它消耗 API 額度按量計(jì)費(fèi)如果你已有 Claude Code 訂閱Shannon 提供了一條走訂閱的路徑用 Claude Code 生成的 OAuth Token 作為 Anthropic 憑據(jù)滲透測(cè)試的模型調(diào)用費(fèi)用只占用你現(xiàn)有訂閱不再產(chǎn)生額外的 API 賬單。本文按 README.md 和 docs/ai-providers.md 給出的步驟帶你從生成 Token 到跑通第一次掃描。準(zhǔn)備條件按 README.md Quick Start 的 Prerequisites運(yùn)行 Shannon 需要Dockerworker 容器必需Shannon 會(huì)拉取 worker 鏡像并在臨時(shí)容器里執(zhí)行掃描Node.js 18npx工作流所需一個(gè)可用的 Claude Code 訂閱訂閱路徑依賴(lài)claudeCLI 的setup-token命令生成 Token與 AI 提供商完成網(wǎng)絡(luò)安全場(chǎng)景的合規(guī)確認(rèn)Anthropic 會(huì)對(duì)網(wǎng)絡(luò)安全類(lèi)工作負(fù)載啟用實(shí)時(shí)防護(hù)real-time cyber safeguards如果防護(hù)在運(yùn)行中途觸發(fā)模型可能拒絕執(zhí)行掃描會(huì)在中途失敗而不是開(kāi)始時(shí)失敗。docs/ai-providers.md 要求你在首次掃描前按提供商指引完成其要求的驗(yàn)證或登記。另外注意運(yùn)行對(duì)象Shannon 會(huì)主動(dòng)創(chuàng)建用戶(hù)、提交表單、改變應(yīng)用狀態(tài)并產(chǎn)生出站流量README.md 明確要求只對(duì)自己擁有或持有書(shū)面授權(quán)的目標(biāo)運(yùn)行且不要指向生產(chǎn)系統(tǒng)。目標(biāo)建議選沙箱、staging 或本地開(kāi)發(fā)環(huán)境。生成 Claude Code OAuth Token在已安裝claudeCLI 的終端中執(zhí)行claude setup-token命令會(huì)輸出一段 OAuth Token記下它下一步配置時(shí)要用。用 OAuth Token 配置 ShannonREADME.md 指出shannon-v1分支是最后一個(gè)基于 Claude Agent SDK 的版本因此訂閱路徑固定在 1.9.0 上執(zhí)行配置向?qū)px keygraph/shannon1.9.0 setup向?qū)Ы换ナ?TUI依次會(huì)問(wèn)Select your AI provider—— 選AnthropicAuthentication method—— 選OAuth Token而不是 API KeyEnter your OAuth token—— 粘貼上一步claude setup-token生成的 Token輸入是隱藏回顯的Model—— 選一個(gè)貫穿所有掃描階段的模型。向?qū)Ыo出的 Anthropic 建議模型按優(yōu)先級(jí)為claude-sonnet-4-6、claude-opus-4-8、claude-opus-4-7、claude-haiku-4-5-20251001見(jiàn) docs/ai-providers.md Suggested models。文檔同時(shí)強(qiáng)調(diào) Claude 模型是支持最好的選項(xiàng)Shannon 的評(píng)估、內(nèi)部測(cè)試和 agent harness 都是圍繞 Claude 調(diào)優(yōu)的。配置完成后向?qū)?huì)把憑據(jù)寫(xiě)入~/.shannon/config.toml并打印類(lèi)似Configuration saved to ~/.shannon/config.toml的確認(rèn)信息以及 Provider、Model 匯總。如果你不走向?qū)?、而是用環(huán)境變量配置docs/ai-providers.md 的憑據(jù)表列出 Anthropic 提供商接受的變量為ANTHROPIC_API_KEY或CLAUDE_CODE_OAUTH_TOKEN——即直接export CLAUDE_CODE_OAUTH_TOKENtoken也能完成鑒權(quán)。啟動(dòng)第一次滲透測(cè)試配置好憑據(jù)后把-u換成你要測(cè)試的應(yīng)用地址、-r換成該應(yīng)用源碼倉(cāng)庫(kù)在本機(jī)的路徑npx keygraph/shannon1.9.0 start -u https://your-app.com -r /path/to/your-repo-u目標(biāo) Web 應(yīng)用或 API 的 URL。測(cè)試本地應(yīng)用時(shí)Docker 容器內(nèi)訪問(wèn)不到宿主機(jī)的localhostdocs/platforms.md 要求改用host.docker.internal例如-u http://host.docker.internal:3000-r目標(biāo)源碼倉(cāng)庫(kù)路徑倉(cāng)庫(kù)在 worker 容器內(nèi)以只讀方式掛載可選的-w name給本次運(yùn)行起一個(gè)工作區(qū)名字方便之后恢復(fù)和查看。啟動(dòng)后 Shannon 會(huì)先跑 preflight 校驗(yàn)詳見(jiàn) docs/ai-providers.md Validation 一節(jié)再拉取 worker 鏡像、啟動(dòng)本地基礎(chǔ)設(shè)施、在臨時(shí)容器內(nèi)執(zhí)行掃描。驗(yàn)證運(yùn)行與收取報(bào)告判斷 Token 是否真正生效看掃描是否能通過(guò) preflight 進(jìn)入運(yùn)行階段。這些校驗(yàn)在掃描開(kāi)始前執(zhí)行目的是讓錯(cuò)誤當(dāng)場(chǎng)失敗而不是跑一半才發(fā)現(xiàn)Provider—— 對(duì)照 harness 已知的提供商校驗(yàn)不認(rèn)識(shí)的提供商會(huì)被直接拒絕并給出有效列表Model ID—— 對(duì)照該提供商的 harness 目錄校驗(yàn)拼寫(xiě)錯(cuò)誤會(huì)立刻被發(fā)現(xiàn)Credential presence—— 校驗(yàn)所選提供商的憑據(jù)是否存在Credential validity—— 對(duì)掃描要使用的模型發(fā)一次最小請(qǐng)求被拒絕的 Token、耗盡的額度、賬號(hào)無(wú)法訪問(wèn)的模型都會(huì)在任何 agent 啟動(dòng)之前失敗。也就是說(shuō)如果你的 OAuth Token 無(wú)效或訂閱額度不足失敗會(huì)發(fā)生在開(kāi)始階段錯(cuò)誤信息直接指向憑據(jù)問(wèn)題。運(yùn)行中可以用以下命令跟蹤狀態(tài)workspace換成你的工作區(qū)名npx keygraph/shannon workspaces可列出全部工作區(qū)npx keygraph/shannon1.9.0 logs workspace npx keygraph/shannon1.9.0 status成功條件是產(chǎn)出最終報(bào)告在npx模式下工作區(qū)存放在~/.shannon/workspaces/報(bào)告以Security-Assessment-Report.md出現(xiàn)在工作區(qū)根目錄運(yùn)行內(nèi)部文件交付物、日志、提示詞、會(huì)話狀態(tài)都在隱藏的.shannon/目錄里見(jiàn) docs/development.md 與 docs/workspaces.md。已知限制版本范圍走 Claude Code 訂閱的是shannon-v1分支對(duì)應(yīng)的 1.9.0 系列README 稱(chēng)其為最后一個(gè)基于 Claude Agent SDK 的版本升級(jí)到更新版本時(shí)以各版本文檔為準(zhǔn)。成本與時(shí)長(zhǎng)按 docs/safety.md一次完整測(cè)試通常約 1 到 1.5 小時(shí)訂閱路徑下 README.md 的表述是費(fèi)用只占你現(xiàn)有訂閱不再額外計(jì)費(fèi)。中途失敗風(fēng)險(xiǎn)前面提到的 Anthropic 實(shí)時(shí)網(wǎng)絡(luò)安全防護(hù)如果在運(yùn)行中途觸發(fā)掃描會(huì)半途失敗而非開(kāi)始時(shí)失敗所以首次掃描前完成提供商要求的驗(yàn)證/登記步驟是必要的前置動(dòng)作。報(bào)告仍需人工復(fù)核Shannon 采用 proof-by-exploitation但文檔明確最終報(bào)告仍可能包含支撐不足或不準(zhǔn)確的細(xì)節(jié)人工 review 是必須的完整測(cè)試前建議先閱讀 docs/safety.md?！久赓M(fèi)下載鏈接】shannonShannon is an AI pentester for web applications and APIs. It analyzes your source code, identifies attack vectors, and executes real exploits to prove vulnerabilities before they reach production.項(xiàng)目地址: https://gitcode.com/GitHub_Trending/shan/shannon創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考