OpenClaw + Claude Opus 透過 OAuth（非 API Key）：完整現況解析
一、核心結論：目前 OAuth 方式已被 Anthropic 明確禁止
Anthropic 已更新其 Claude Code 文件，明確禁止將 Free、Pro、Max 方案的 OAuth token 用於任何第三方工具或服務。這不只影響 OpenClaw，連 Anthropic 自己的 Agent SDK 也不被允許使用訂閱制 OAuth token。
社群中的官方表述是：「Using OAuth tokens obtained through Claude Free, Pro, or Max accounts in any other product, tool, or service — including the Agent SDK — is not permitted and constitutes a violation of the Consumer Terms of Service.」
二、技術上怎麼操作（setup-token 流程）
雖然政策已禁止，但技術路徑仍然存在。OpenClaw 對 Anthropic 訂閱使用的是「setup-token」機制而非傳統 OAuth 流程，步驟如下：
- 產生 setup-token：在任何安裝了 Claude Code CLI 的機器上執行
claude setup-token - 貼到 OpenClaw Gateway 主機：執行
openclaw models auth paste-token --provider anthropic - 確認模型狀態：執行
openclaw models status - 確保 Agent 使用 Anthropic 模型（而非 OpenRouter），否則會繼續消耗 OpenRouter 額度
OpenClaw 官方 FAQ 也明確指出：setup-token 是訂閱帳戶的技術認證路徑，因為 Claude Pro/Max 訂閱不包含 API key。
三、已知問題與陷阱
401 認證錯誤：部分用戶回報即使成功透過 Claude Code CLI 認證並產生 setup-token，OpenClaw 仍然回傳 HTTP 401 錯誤。
1M Context 問題：如果你選擇了 100 萬 token 上下文視窗的模型版本，OAuth 不支援該版本。切換到 200K context 的 Claude Sonnet 4.6 或 Opus 4.6 即可恢復運作。
Token 過期：Claude 訂閱認證可能過期或被撤銷，需重新執行 claude setup-token 並重新貼到 gateway 主機。
Prompt Caching 不適用：訂閱認證不支援 prompt caching 設定，只有 API key 認證才有效。
四、違反 ToS 的風險有多高？
Anthropic 在 2026 年 1 月部署了客戶端指紋識別技術來偵測非官方客戶端，第一波封禁後來被撤銷，但 ToS 已更新，重複違規被永久封禁的可能性更高。
Anthropic 後來澄清「不會取消現有用戶的帳戶」，這次更新只是讓文件語言更一致，但這不代表未來不會執行更嚴格的措施。
安全風險也不容忽視：OpenClaw 存在已知的重大漏洞 CVE-2026-25253（CVSS 8.8），這是一個遠端程式碼執行漏洞，攻擊者可透過惡意連結竊取認證 token。請確保已更新到 v2026.1.29 以上。
五、為什麼 Anthropic 要封鎖？
根本原因是訂閱經濟模型。Claude Max 每月 $200 包含大量 token 額度，但同等用量透過 API 要花超過 $1,000。OpenClaw 讓用戶能自動化大規模請求，把訂閱額度用到極限。
有些用戶驚訝地發現自己一個下午就消耗了數百萬 token——光是問 OpenClaw「你好嗎？」就可能用掉 3 萬 token。
六、現在的最佳替代方案
根據社群共識，目前有幾條路：
方案 A：使用 Anthropic API Key（最安全、最推薦）
- 在 Anthropic Console 建立 API key
- 在 OpenClaw onboarding 時選擇「Anthropic API key」
- 缺點：按 token 計費，成本高（Opus 定價 $15/M input、$75/M output）
- 沒有支出上限，需自行控制
方案 B：切換到 OpenAI
- OpenAI 已確認允許 Codex 訂閱透過 OAuth 認證用於 OpenClaw 等外部工具
- OpenClaw 創辦人 Peter Steinberger 已加入 OpenAI
方案 C：使用替代模型（最省錢）
- 社群推薦的方案：兩台 $5/月 VPS + Kimi K2.5 作為主要模型 + MiniMax M2.5 作為便宜備援，總計約 $15/月
- 透過 OpenRouter 統一接入各家模型
方案 D：本地模型
- 使用 LM Studio 等工具在本機執行開源模型
- 資料完全不離開裝置，但品質和速度受限於硬體
七、社群的聲音
在 GitHub issue #16365 中，社群正式要求 Anthropic 將 Claude Code 的訂閱認證模型擴展到 OpenClaw 等個人 AI agent。核心論點包括：數十萬 OpenClaw 用戶因 API 成本過高而改用本地模型或競爭對手，這些都是 Anthropic 流失的客戶；Claude Code 已經證明訂閱制 agent 認證（OAuth、速率限制、使用追蹤）是可行的。
近期 Medium 上的一篇分析文章指出，Anthropic 缺少一個正式的第三方 OAuth 流程是結構性問題——當開發者無法輕易「做正確的事」時，他們會選擇「勉強可行的旁門左道」。
八、實務建議（給你的情境）
以你目前的 OpenClaw + 多客戶架構來說，我的建議是：
- 內部實驗與開發：可以保留 Claude Max 訂閱用於 Claude Code 和 claude.ai（這是被允許的），但 OpenClaw 務必切換到 API key
- 省錢路線：對於非關鍵任務，考慮 Kimi K2.5 / MiniMax M2.5 透過 OpenRouter 接入 OpenClaw，這與你現有的 tiered model strategy 完全一致
總結來說：技術上 setup-token 仍然可以運作，但政策上已明確違反 ToS，有帳號被封的風險。生產環境請務必使用 API key 或切換到其他 provider。