Win-CodexBar 是一款 Windows 原生的 AI 用量监控工具，主打卖点就是无需登录即可查看 OpenAI Codex 和 Claude Code 的剩余额度、重置时间等用量信息，还能覆盖 56 个 AI 服务商。很多新手会好奇：不输入账号密码，它凭什么能拿到真实数据？其实答案并不神秘——Win-CodexBar 并不是在"绕过"认证，而是复用你电脑上已有的登录状态（CLI 凭据、OAuth 令牌或浏览器 Cookie），直接在本地完成解密与请求，全程不经过任何第三方服务器。本文用大白话把这套免登录核心原理一次讲透。

"无需登录"到底免的是什么？

先厘清一个概念：所谓"无需登录"，指的是你不需要在 Win-CodexBar 里输入账号密码，也不需要它注册任何项目账号。它免掉的是"重复登录"这个动作，而不是免掉认证本身。

它的思路可以概括为一句话：你在别处已经登录过，我直接把那份"通行证"拿来用。

这些"通行证"通常散落在三个地方：

• CLI 登录凭据：比如 Codex CLI 登录后写入~/.codex/auth.json的 OAuth 令牌
• 本地凭证文件：Claude Code 保存在~/.claude/.credentials.json或系统凭据管理器中的 OAuth 信息
• 浏览器 Cookie：你在 Chrome、Edge、Brave、Firefox 里登录 claude.ai 后留下的会话凭证

原理一：复用本地已有的登录态

Codex：读取 Codex CLI 的 OAuth 令牌

只要你用 Codex CLI 登录过 ChatGPT/Codex 账号，凭据就会存在~/.codex/auth.json中。Win-CodexBar 会读取这份 OAuth 令牌（过期时还会自动刷新），然后以你的身份调用 ChatGPT 后端的用量接口（如https://chatgpt.com/backend-api/wham/usage），拿回 5 小时窗口、每周额度、Credits 余额等数据。

相关实现见 rust/src/providers/codex/mod.rs 与 rust/src/providers/codex/api.rs。整个过程只发生在你的机器与 OpenAI 官方接口之间，Win-CodexBar 项目自身没有任何后端服务器。

Claude：OAuth 凭据或浏览器 Cookie，双路取数

Claude 的取数策略更丰富（见 rust/src/providers/claude/mod.rs），主要有两条路：

关键点：这两条路都不需要你"在 Win-CodexBar 里登录一次 Claude"，它只是借用你已有的会话。

原理二：DPAPI 本地解密浏览器 Cookie

那浏览器 Cookie 是怎么被安全读出来的？这是 Windows 上的一个经典机制：

1. Chromium 系浏览器（Chrome、Edge、Brave）把 Cookie 存在 SQLite 数据库里，并用当前 Windows 用户的DPAPI密钥做 AES-256-GCM 加密
2. Win-CodexBar 用同一个用户的 DPAPI 密钥在本地完成解密（核心逻辑在 rust/src/browser/cookies.rs）
3. 只提取已启用服务商对应域名（如claude.ai、cursor.com）的 Cookie，且只在内存中使用，每次轮询时刷新

也就是说，解密权本来就掌握在你（Windows 用户）手里，Win-CodexBar 只是"代读"，没有任何网络回传。Firefox 的 Cookie 库不加密，读取更直接。

⚠️ 注意：新版 Chromium 的 App-Bound Encryption（v20Cookie）Win-CodexBar不会绕过。这种情况官方建议改用 Firefox 或手动粘贴 Cookie 头，详细说明见 docs/COOKIES.md。

在设置界面里，每个服务商都可以独立选择数据来源和浏览器：

原理三：Auto 模式的四级来源自动回退

在服务商详情面板中，数据来源支持auto/web/oauth/cli四种模式（源码中为 core/provider.rs 里的SourceMode）。默认的Auto模式会按服务商特定的优先级顺序自动尝试：

• OAuth 凭据可用 → 直接走 OAuth
• 被撤销或限流 → 回退到CLI或Web Cookie
• 全部失败 → 明确报错并提示修复建议（而不是假装成功）

以 Claude 为例（rust/src/providers/claude/mod.rs 中fetch_via_auto逻辑）：OAuth 令牌被撤销时，Auto 模式会复用一个 15 分钟有效期的 CLI 结果缓存，避免高频探测打扰 Claude Code。这种"多级回退 + 本地缓存"正是它免登录依然稳定显示用量的关键。

CLI 用户也可以显式指定来源：

codexbar usage --source auto|web|cli|oauth

隐私视角：数据不出本机

为什么敢承诺免登录也免隐私风险？看 docs/PRIVACY.md 就能确认：

• 项目不运营任何服务器：无分析、无遥测、无崩溃上报，凭证和数据只在你本机与对应服务商官方接口之间流动
• 敏感信息本地加固：API Key、手动 Cookie 等通过 Windows DPAPI 保护存储在%APPDATA%\CodexBar\，从不会写入日志
• 删除即彻底：删掉%APPDATA%\CodexBar\和%LOCALAPPDATA%\CodexBar\两个目录即可抹除全部痕迹

快速上手：三步看到免登录用量

1. 安装 Win-CodexBar 后确认：Codex 用户已用 Codex CLI 登录过（或 Codex 默认开启即用）
2. Claude 用户二选一：装过 Claude Code（OAuth 自动可用），或在浏览器登录过 claude.ai（打开设置 →Providers→ 对应服务商 →Browser Cookies→ 选择浏览器 → Import）
3. 点击系统托盘图标，即可看到 Codex / Claude 的会话与每周用量进度条，无需任何登录弹窗

常见问题

Q：需要一直开着对应浏览器吗？

不需要。Cookie 导入一次后保存在本地，每次刷新自动复用；过期后再重新打开浏览器登录刷新即可。

Q：Codex/Claude 那边注销了，Win-CodexBar 会怎样？

令牌失效后取数会失败并提示重新认证，这是预期行为——"免登录"的前提始终是存在一份有效的本地登录态。

Q：在 WSL 里为什么浏览器 Cookie 自动解密会失败？

Chromium 的 DPAPI 密钥只在 Windows 侧可用，WSL 中建议改用手动 Cookie 或 CLI 方式（见 docs/WSL.md）。

一句话总结：Win-CodexBar 的"无需登录"=本地读取现有凭据 + DPAPI 本地解密 + 官方接口直连 + Auto 多级回退。它没有发明魔法，只是把"你已经在浏览器和 CLI 里登录过"这件事变成了开箱即用的托盘用量条。