Antoropic claude 5x 跟 20x 方案差別?到底那個划算?有工程師算出來了!!

原文: https://she-llac.com/claude-limits故事是這樣開始的……

話說有個工程師,平常就是那種會把什麼都拆開來看的人。他在用 Claude 的時候心裡一直有個疑問:

「Anthropic 說 Max 20× 方案有 20 倍用量,但……20 倍是哪個 20 倍啊?」

於是他開始挖。沒想到,他在 API 的回應資料裡發現了一個「忘記四捨五入」的小數:

0.16327272727272726

一般人看到這個數字:「哦,好像是 16% 左右。」

這位工程師看到這個數字:「等等,這個數字精確得有點可疑……」

然後他就把 Claude 的整個內部計費系統給挖出來了。就這樣。


先說結論:誰才是真正划算的方案?

作者把幾個方案的「實際用量」給算清楚了,結果讓人頗為傻眼:

每 5 小時的用量上限

方案 官方說幾倍 實際幾倍
Pro 基準 基準
Max 5× 5 倍 實際 6 倍!
Max 20× 20 倍 20 倍(這次沒騙人)

每週的用量上限

方案 官方說幾倍 實際幾倍
Pro 基準 基準
Max 5× 5 倍 實際 8.33 倍!
Max 20× 20 倍 實際只有 16.67 倍…

看到了嗎?Max 5× 根本是在送福利,每週用量比官方宣稱的多了超過六成!

反觀 Max 20× 就比較尷尬了——每 5 小時確實給你 20 倍,但每週的總量上限,說好的 20 倍,實際只有 16.67 倍。更糟的是,Max 20× 每週能做的事,也只有 Max 5× 的兩倍,但價格卻是兩倍。所以 CP 值根本沒有更好。

結論:Max 5× 才是甜蜜點,Max 20× 的星號(*)是有原因的。


跟直接用 API 比呢?

好,那如果你是開發者,直接用 Anthropic 的 API 付錢,跟買訂閱方案比起來差多少?

方案 你付多少 等於 API 費用多少 賺了幾倍
Pro $20/月 $163/月 賺 8 倍
Max 5× $100/月 $1,354/月 賺 13.5 倍
Max 20× $200/月 $2,708/月 賺 13.5 倍

也就是說,你花 100 塊買 Max 5×,等於在 API 上用了 1,354 塊的量。

這還只是「保守估計」。因為有個東西叫做快取(Cache)

  • 你和 Claude 聊天時,之前說過的話會被暫存起來(快取)。

  • 下次 Claude 回答時,可以直接讀取快取,不用重新處理。

  • 用 API 的話:讀快取也要付費(收正常費用的 10%)。

  • 用訂閱方案的話:讀快取完全免費!

如果你在用 Claude Code(讓 Claude 自動幫你寫程式、改程式),每次它呼叫工具、做操作,都會重複讀取大量快取。這種情況下,訂閱方案的實際效益可以高達 API 費用的 36.7 倍

三十六點七倍。你沒看錯。


他到底是怎麼挖出這些數字的?

這才是文章最有趣的部分,來聽工程師辦案過程:

第一步:發現可疑現場

作者做了個 Chrome 擴充套件,方便自己查看 Claude 的使用量。在研究過程中,他發現 Claude 在生成回應時,會在背景偷偷傳一個數字給瀏覽器,代表「你已經用掉的比例」,長這樣:

 0.16327272727272726

一個正常工程師會把這個數字四捨五入,顯示成「16%」就好了。但 Anthropic 的工程師忘了這樣做,把原始數字直接送出來了。

而這個原始數字,其實是:你用掉的量 ÷ 總上限

第二步:用數學魔法還原分數

這個小數點背後,藏的是一個分數。比如 0.5 背後是 1/20.333... 背後是 1/3

0.16327272727272726 背後是什麼?

作者用了一個叫做 Stern-Brocot 樹 的數學演算法。這個方法就像在玩「猜數字」遊戲,但它特別聰明——它會優先猜「簡單」的分數,因為電腦系統內部用的數字通常都是整數,分母不會是天文數字。

這個演算法跑了幾十步之後,找到了答案:

449 / 2750

驗算:449 ÷ 2750 = 0.16327272727272726 ✓ 完美吻合!

第三步:收集更多證據,確認總上限

分母 2750 是什麼意思?就是那個時間點的「總上限比例分母」,但因為分數會被化簡,不一定是真正的上限。

所以作者在不同的使用量下,重複採樣了很多次,對所有還原出的分母取最小公倍數(LCM)

當這個最小公倍數不再增加的時候,答案就出現了:3,300,000

這就是 Max 5× 方案每 5 小時的真實 Credits 上限。

第四步:搞清楚「Credits 是什麼」

知道了上限之後,還要知道「每次對話到底會消耗多少 Credits」。這部分作者就靠老派方法了:大量手動測試、記錄數據、列表格、盯著看、問 Claude、問 GPT、提假設、驗證假設……

最後他得出了這個公式:

 消耗的 Credits = 無條件進位(輸入 Token × 輸入費率 + 輸出 Token × 輸出費率)

費率的部分,跟 API 定價的比例完全一致:Opus 最貴、Haiku 最便宜,輸出 Token 是輸入的 5 倍。


這件事告訴我們什麼?

對使用者的啟示:

  • 能買訂閱方案就買,CP 值遠勝 API。

  • Max 5× 是最划算的選擇,Max 20× 沒有成比例地更好。

  • 如果你在跑 AI 代理程式(像 Claude Code),省下的快取費用更是驚人。

對工程師的啟示:

  • 側通道洩漏(Side Channel Leak)真的無所不在。Anthropic 只是忘了把兩個數字四捨五入,結果被人把整個計費架構給挖出來了。

  • 這不是駭客攻擊,不需要入侵任何系統,只需要一點數學和一點好奇心。


最後

作者在文章結尾說了一句話,頗有意思:

「截至撰文時,那兩個浮點數還沒有被四捨五入。我猜如果這篇文章引起足夠的關注,這種情況可能不會持續太久。到時候我會有點難過,因為這樣我的擴充套件就沒辦法那麼精準了。」

翻譯成白話就是:「我剛剛把 Anthropic 的底細公開在網路上,我猜他們很快就會把漏洞補起來,然後我的工具就沒這麼好用了。但這篇文章我還是要發。」

工程師的浪漫,大概就是這樣吧。

解決 Vite 專案中 ngrok 連線失敗的「安全門檻」

最近有團隊成員在進行外部對接調試時,反應使用 ngrok 進行內網穿透時,遇到了連線被阻擋的問題。這其實不是 ngrok 的服務異常,而是 Vite 在升級到新版本後,為了防禦 DNS Rebinding(DNS 再綁定攻擊) 所加強的安全檢查機制。

🛠️ 解決方案

如果你的 ngrok 網址顯示攔截,請直接檢查你的 vite.config.ts。你必須顯式地將 ngrok 提供的 domain 加入「允許名單」中:

TypeScript

// vite.config.ts
export default defineConfig({
  server: {
    allowedHosts: [
      'a134-211-72-118-118.ngrok-free.app' // 替換為你當前的 ngrok 網址
    ]
  }
})

 為什麼我們要關注這個設定?

公司治理資安維護的角度來看,這項調整背後有兩個關鍵思考:

  1. 防止 Host Header 攻擊:Vite 預設不再信任隨機的 Host 請求。這能有效避免惡意網站利用瀏覽器漏洞,在使用者不知情的狀況下,與本地開發環境通訊並竊取原始碼或環境變數。

  2. 開發環境的最小權限原則:雖然 ngrok 方便,但隨意開放外部存取內網環境是有風險的。透過 allowedHosts 的明確宣告,我們能確保開發者清楚知道哪些外部網域正在與本地服務互動。

📢技術小提醒

在測試結束後,記得將該設定移除或將其移至 .env 進行管理,切勿將特定 ngrok 網址永久硬編碼在 code 中並推上主分支,保持乾淨且安全的 Repo 是每一位資深工程師的素養。

祝大家今天開發順利,Bug 自由!

#Vite #ngrok #FrontendDevelopment #資安意識 #DNSRebinding #軟體研發管理 #WebSecurity #TypeScript