Claude Code SDK #43：Corporate Proxy 全解——HTTPS_PROXY × CA store × mTLS，让 Claude Code 穿过企业内网

1. 先分清三条链路：代理、证书、网关

2. HTTPS_PROXY 是主路径，HTTP_PROXY 是退路

export HTTPS_PROXY="https://proxy.example.com:8080"
export NO_PROXY="localhost,127.0.0.1,.corp.example.com"
claude

3. 代理用户名密码别写死在脚本里

export HTTPS_PROXY="http://username:password@proxy.example.com:8080"

export PROXY_USER="alice"
export PROXY_PASS="$(security find-generic-password -s corp-proxy -w)"
export HTTPS_PROXY="http://${PROXY_USER}:${PROXY_PASS}@proxy.example.com:8080"

4. 自定义 CA 有两条路：系统证书库和 NODE_EXTRA_CA_CERTS

claude doctor
node --version

export CLAUDE_CODE_CERT_STORE="bundled,system"
# 或只信系统证书库
export CLAUDE_CODE_CERT_STORE="system"

export NODE_EXTRA_CA_CERTS="/path/to/corp-root-ca.pem"

5. CLAUDE_CODE_CERT_STORE 要放进 env，不是顶层 settings key

{
  "env": {
    "HTTPS_PROXY": "https://proxy.example.com:8080",
    "NO_PROXY": "localhost,127.0.0.1,.corp.example.com",
    "CLAUDE_CODE_CERT_STORE": "bundled,system",
    "NODE_EXTRA_CA_CERTS": "/etc/ssl/certs/corp-root-ca.pem"
  }
}

6. Managed scope 适合公司级网络策略

{
  "env": {
    "HTTPS_PROXY": "https://proxy.corp.example.com:8080",
    "NO_PROXY": "localhost,127.0.0.1,.corp.example.com",
    "CLAUDE_CODE_CERT_STORE": "bundled,system",
    "DISABLE_TELEMETRY": "1",
    "DISABLE_ERROR_REPORTING": "1"
  }
}

7. mTLS 是客户端证书，不是 CA 证书

export CLAUDE_CODE_CLIENT_CERT="/path/to/client-cert.pem"
export CLAUDE_CODE_CLIENT_KEY="/path/to/client-key.pem"
export CLAUDE_CODE_CLIENT_KEY_PASSPHRASE="your-passphrase"

8. allowlist 不只是一条 api.anthropic.com

9. WebFetch 有一条额外的域名安全检查

10. Gateway 管凭据和审计，proxy 管网络出口

最小落地清单

1. 在一台测试机上用 shell export 配好 HTTPS_PROXY 和 NO_PROXY，确认 claude 能登录、能发模型请求。
2. 确认安装方式：native installer 或 Node 22.15+，再决定是否依赖系统证书库。
3. 如果有企业根证书 PEM，先用 NODE_EXTRA_CA_CERTS 显式验证。
4. 如果代理要求 mTLS，固定 CLAUDE_CODE_CLIENT_CERT 和 CLAUDE_CODE_CLIENT_KEY 路径，轮换时原地替换文件。
5. 按使用面补 allowlist，不要只放 api.anthropic.com。
6. 如果 WebFetch 在第三方 provider 下失败，单独核对 api.anthropic.com 预检请求和 skipWebFetchPreflight 策略。
7. 需要集中计费、限额、审计时再上 LLM gateway，不要用 proxy 冒充 gateway。
8. 团队分发用 managed settings，把代理、证书源、非必要流量开关和权限策略统一下发。