api-relay-verify · API 中转验真

一句话：同一个请求，官方发一遍、中转发一遍，凡是不一样的地方都要有解释。 Claude 还多一层硬证据： thinking 块的签名由官方服务端生成，锁定了生成它的模型和完整对话前缀，中转改不了也造不出来。

检测全在 scripts/api_relay_verify.py（只用 Python 标准库）。本文件只写什么时候用、怎么配、怎么读结果。

什么时候用

• 要用某条中转跑评测、上生产或大批量调用之前，先验一遍。
• 怀疑中转降智、偷换模型、多收 token。
• 中转换了分组 / 上游，或者隔了一段时间要复查。

前提：同一个模型要有一把官方直连 key 当对照。没有官方 key，这个工具帮不上忙。

怎么跑

key 只从环境变量读，不要写进命令行参数（会进 shell 历史）。可以用 --env-file 指向 KEY=VALUE 文件， 文件权限设成 600。

# Claude：四项全做
python3 scripts/api_relay_verify.py --relay-base https://relay.example \
  --relay-key-env RELAY_KEY --model claude-opus-5-5 --env-file ~/.config/api-relay-verify/keys.env

# OpenAI 兼容通道：base 要给到 /v1 这一级
python3 scripts/api_relay_verify.py --relay-base https://relay.example/v1 --relay-key-env RELAY_KEY \
  --model gpt-x --official-key-env OPENAI_API_KEY

常用参数：--relay-model（中转上的模型名和官方不同时）、--official-base（对照不是默认官方地址时）、 --checks inject,signature,effort,meta（只跑其中几项）、--effort-runs N（档位检查每档次数，默认 2）、 --candidate "文本"（补充猜测的注入原文）、--probe-models a,b（跨模型回放用的模型）、--out DIR。 报告默认写到 ~/.local/share/api-relay-verify/<时间>/report.md，原始数据在同目录 raw.json。

花费：一轮 Claude 检查官方和中转各约 30 个请求，大头是档位检查那道题（high 档几千思考 token）； Opus 级别一轮在 1 美元以内。思考很长的模型（某些国产推理模型 high 档能到 5 万思考 token）先用 --effort-runs 1 或 --checks inject,meta 摸底。跑之前把预计花费告诉用户。

四项检查和读法

签名回放怎么判

先看三组对照，对照不成立就不下结论（脚本会自动标「无法判定」）：

1. 官方自己的块原样回放 → 必须通过；
2. 官方的块改了 system 再回放 → 必须报「前缀不一致」（不报说明这个模型 / 账号不做前缀校验，只能验真伪和模型）；
3. 签名改一个字符 → 必须 400。

然后看中转的块：

• 官方报 400：签名是伪造的；或者上游不是 Claude API（Bedrock / Vertex 的块可能跨平台解不开），这时看 id 前缀区分。
• 原样通过：签名真实，请求没被改。
• 前缀不一致：中转改过请求。脚本逐个试候选系统提示词，哪个补上后能通过，哪个就是塞进去的原文——这是密码学证据，不是猜。
• 跨模型回放：同一个块分别回放给几个模型，记录谁能读、谁丢弃。中转的块和官方同款模型的块在每个模型上表现都一样，才算「是这个模型生成的」。

签名的前缀和模型绑定是 Fable 5.1、Opus 5.5、Sonnet 5.5 这一代 Claude 才有的（本技能在 Opus 5.5 上实测过）； 更早的模型对照 2 会不成立，脚本只给真伪结论。

已知局限

• 一次只是一张快照。 中转可以随时换上游，注入也可能间歇出现（实测有中转相邻几轮的注入量是 0、几千、近万）。 要下结论就隔几小时多跑几轮；用之前当天再跑一遍。
• 签名只覆盖模型、system、tools、对话内容。max_tokens、档位、temperature 这类请求参数不在签名里，档位靠 effort 一项单独查。
• OpenAI 兼容通道没有签名，查不了「背后换没换模型」。要查这个用单 token 答案分布之类的行为指纹工具，同样要先用官方 key 建基线。
• 「塞了一句 Claude Code 身份提示词」是用 Claude 订阅账号转发的典型特征：模型是真的，但每题都多了一句身份设定， 正式评测和官方直连比时这是个干扰项，要在结论里写明。

失败怎么报

• 缺 key：脚本直接退出并说明是哪个环境变量。让用户把 key 放进环境变量或 600 权限的 env 文件，不写进命令行、报告或仓库。
• 官方请求失败（额度、权限、模型名不对）：该项标「无法判定」，原样转述官方报错。
• 中转请求失败：标出来并转述报错，不要拿失败的请求下「中转造假」的结论。
• 给用户的结论先用一两句大白话（「模型是真的，但每个请求被加了一句话」），再附报告路径和关键数字。