【Claude】OAuth token revoked / Org not allowed 错误的认证链路排查 bug报错已解决

【Claude】OAuth token revoked / Org not allowed 错误的认证链路排查 bug报错已解决

关键词: Claude Code、OAuth token、token revoked、Org not allowed、认证链路、组织限制、OAuth 撤销、Token 过期、订阅登录、组织策略、Console 组织、认证失败

一、问题描述：当认证链路被切断

"OAuth token revoked" 和 "Org not allowed" 是 Claude Code 认证链路中的两种不同但相关的错误。前者表示你的 OAuth Token 已被撤销（可能是用户主动操作、密码修改或安全原因），后者表示你的组织策略不允许使用当前的认证方式。这两种错误都会阻断 Claude Code 的正常使用，但排查和修复的方向截然不同。

1.1 典型报错场景与错误信息

场景一：OAuth Token 被撤销

Not logged in or token expired Your OAuth token has been revoked. Please run /login to re-authenticate.

场景二：组织不允许订阅登录

Your organization has disabled Claude subscription access You must use an API key for authentication.

场景三：OAuth Token 过期

Not logged in or token expired Your authentication token has expired. Please run /login.

场景四：组织策略限制

Organization policy prohibits OAuth login This organization requires API key authentication only.

二、根因分析：认证链路的状态机

2.1 OAuth Token 的生命周期

用户执行 /login ↓ 浏览器认证 → OAuth Token 颁发 ↓ Token 存储在系统密钥库 ↓ Token 使用（API 调用） ↓ Token 可能的状态： - 有效：正常使用 - 过期：时间到期，需要重新登录 - 撤销：用户主动撤销、密码修改、安全事件 - 被组织策略禁用：组织禁止 OAuth 登录

2.2 "OAuth token revoked" 的原因

2.3 "Org not allowed" 的原因

三、实际操练：排查与修复

3.1 第一步：诊断认证状态

# 在 Claude Code 中 /status # 输出示例（Token 被撤销）： # Authentication: Not logged in # Token status: Revoked

3.2 第二步：处理 OAuth Token 被撤销

方案 A：重新执行 /login

# 最简单的方法 claude /login # 或 claude # 然后输入： /login # 按照浏览器提示完成认证

方案 B：清除旧 Token 后重新登录

# macOS：清除 Keychain 中的旧 Token security delete-generic-password -s "claude-code" -a "oauth-token" 2>/dev/null # 然后重新登录 claude /login

方案 C：检查系统时间

# Token 验证可能受系统时间影响 # macOS sudo sntp -sS time.apple.com # 然后重新登录 claude /login

3.3 第三步：处理组织策略限制

方案 A：使用组织 API Key

# 如果组织禁止使用 OAuth，使用 API Key export ANTHROPIC_API_KEY="sk-ant-api03-..." claude # 确认使用 API Key claude /status # 预期：Authentication: API Key

方案 B：联系组织管理员

# 如果需要在组织内使用 OAuth 登录 # 联系 IT 管理员请求： # 1. 允许 Claude 订阅登录 # 2. 或提供组织 API Key

方案 C：使用个人账户（非企业账户）

# 如果企业账户被限制，使用个人 Anthropic 账户 # 1. 使用个人邮箱注册/登录 # 2. 购买个人 Pro/Max 订阅 # 3. 执行 /login 使用个人账户

3.4 第四步：验证修复

# 1. 检查认证状态 claude /status # 预期：显示已登录账户信息 # 2. 测试非交互模式 claude -p "Respond with AUTH_OK" 2>/dev/null | grep "AUTH_OK" # 3. 检查环境变量 env | grep ANTHROPIC # 预期：如果是 OAuth 登录，不应有 ANTHROPIC_API_KEY # 如果是 API Key，应显示正确的 Key

四、验证与回归测试

#!/bin/bash # oauth_auth_test.sh echo "=== OAuth 认证链路测试 ===" # 1. 检查 Token 状态 echo -n "[1/4] Token 存储检查 ... " if security find-generic-password -s "claude-code" 2>/dev/null | grep -q "password"; then echo "OK (Token 存在于 Keychain)" else echo "未找到 Token (需要 /login)" fi # 2. 检查系统时间 echo -n "[2/4] 系统时间 ... " if command -v ntpdate >/dev/null 2>&1; then echo "OK" else echo "请确保时间同步" fi # 3. 检查环境变量冲突 echo -n "[3/4] 环境变量冲突 ... " if [ -z "$ANTHROPIC_API_KEY" ]; then echo "OK (无 API Key 环境变量)" else echo "存在 ANTHROPIC_API_KEY (可能覆盖 OAuth)" fi # 4. 认证测试 echo -n "[4/4] 认证测试 ... " if claude -p "OK" 2>/dev/null | grep -q "OK"; then echo "OK" else echo "失败 (需要重新登录)" fi

五、总结与最佳实践

5.1 核心要点

1. Token 撤销 ≠ 账户被封：重新登录即可解决
2. 组织限制需用 API Key：企业环境通常强制使用 API Key
3. 检查系统时间：时间偏差影响 Token 验证
4. 清除旧 Token：避免新旧 Token 冲突

5.2 最佳实践