为什么可以放心把Token交给它：GPTSession2CPAandSub2API纯前端本地转换安全机制解析

GPTSession2CPAandSub2API是一款纯前端、完全在浏览器本地运行的 ChatGPT session 转换工具：它能把 ChatGPT Web 的 session JSON（包含accessToken、sessionToken等敏感登录凭证）转换成 CPA、sub2api、Cockpit、9router、Codexauth.json、AxonHub、Codex-Manager 共 7 种可导入格式。最关键的是：Token 全程不会离开你的浏览器，页面也不向本地存储写入任何数据。下面用通俗的方式，逐层拆解它的本地转换安全机制，帮你搞清楚"凭什么可以放心"。

这个纯前端工具到底转换什么？一图看懂定位

🧩 它不是"账号生成器"，而是一个格式翻译器——把 A 工具的凭证 JSON 翻译成 B 工具能直接导入的结构：

输入字段与输出结构的完整说明见 README.md。页面上还会尝试从accessToken的 JWT 载荷里自动补全邮箱、账号 ID、套餐类型和过期时间，你不需要手动填表。

四大安全保证：为什么Token可以放心交给它本地转换

保证一：零网络请求，Token 永远不出浏览器

整个工具就是一个 HTML 文件 docs/index.html，全部逻辑内联在页面脚本中（IIFE 脚本主体）。对整个仓库搜索fetch、XMLHttpRequest、WebSocket、sendBeacon等网络请求关键字，命中数为 0——代码里根本没有"把数据发出去"的能力。页面唯一的资源引用还是本地的 favicon，因此它甚至可以在完全断网、用file://直接打开的情况下正常使用。

保证二：零存储写入，关掉页面一切即焚

代码中不存在任何localStorage、sessionStorage、IndexedDB 或 Cookie 写入调用。所有状态只存在于内存里的 JS 变量中（state 状态对象），刷新或关闭标签页后立刻清空，连你电脑上都查不到粘贴过的 Token 痕迹。这一点也是项目自己的明确声明："所有解析和转换都在浏览器本地完成，不上传 token，不写入本地存储"（README.md），页面右上角同样挂着"浏览器本地解析 / 不上传 token / 不写入存储"三枚标识（docs/index.html）。

保证三：没有服务器、没有账号、没有埋点

没有后端接口，自然就没有服务器可以"收到"你的 Token；无需注册登录，也就不存在被关联的账号数据。导出环节同样纯本地：

• "下载 JSON"是浏览器本地Blob下载，文件由你的电脑自己生成（downloadOutput 实现）；
• "复制输出"只调用本地剪贴板 API（copyOutput 实现）；
• 拖入 JSON 文件走浏览器 File API 只读本地文件，文件内容不产生任何传输（readFiles 实现）。

保证四：代码开源可审计，还有单元测试兜底

仓库体量极小，核心就 3 个文件，任何有基础的用户都能逐行审读：

• 工具页面：docs/index.html
• 单元测试：tests/convert-session.test.js
• 项目说明：README.md
• 许可协议：LICENSE

testSub2apiAccountUsesAccessTokenExpiry 等 10 个用例 覆盖了过期时间计算、占位id_token结构、refresh_token缺失处理等关键路径，转换行为是被测试锁定的，不是"跑通了就算对"。

转换原理：本地 JWT 解码与"诚实占位"机制

🔒 理解原理后，你会发现它连"造数据"都很克制：

1. 本地解码 JWT：accessToken本质是 JWT，脚本只在内存里做 Base64 解码取出 payload，补全邮箱、账号 ID、exp过期时间（parseJwtPayload 实现）；
2. 缺真实id_token时构造占位 JWT：用alg: none本地签名并打上cpa_synthetic: true标记（buildSyntheticCodexIdToken 实现），让目标工具能解析，同时不假装是官方签发；
3. 缺refresh_token时诚实标注：ChatGPT Web session 通常不带 refresh token，因此 Codex / Codex-Manager 输出保留空字符串、AxonHub 写入带注释的占位值，并在输出 JSON 中写明"仅 access token 有效期内可用"，不会让导入方误以为可以自动续期；
4. 核心转换函数convertSession 一次性产出 7 种格式，全部是纯函数式映射，输入什么只输出什么。

安全提醒：转换前必须知道的 3 件事

⚠️ 工具本身不碰、不存、不传 Token，但使用习惯仍需注意：

1. Session 本身就是钥匙。accessToken+sessionToken等同登录凭证，页面在输入区也有醒目红字提醒"不要发给别人"（页面警示文案）——把它粘贴进其他来路不明的工具、或截图发到群里，才是真正的泄露风险；
2. 不能绕过手机绑定验证。OpenAI 已限制通过 Web session 转换导入来跳过 Codex OAuth 的 add phone 验证，本项目仅用于格式转换（README.md）；
3. Token 会过期。没有真实refresh_token的账号在 access token 过期后不能自动刷新，Free 账号也可能没有权限调用付费功能（README.md）。

快速上手：本地Token转换两步走

🚀 最短路径只需两步：

1. 获取仓库：git clone https://gitcode.com/gh_mirrors/gp/GPTSession2CPAandSub2API
2. 双击打开docs/index.html：粘贴 session JSON（或拖入多个 JSON 文件）→ 顶部选择输出格式 → 点击"下载 JSON"。

整个过程无需安装依赖、无需启动服务、无需联网。把 Token 交给它，等于把钥匙留在自己口袋里——这正是"纯前端本地转换"四个字的分量。