Kiro 登录失败怎么排查？四层清单定位到底卡在哪一环
装好 Kiro、点了登录、浏览器弹出来了，然后就一直转圈——或者干脆跳回客户端，什么都没发生。这类问题最折磨人的地方在于：你的网络明明是通的，网页能开、别的工具能用，偏偏它登不进去。于是你开始怀疑是不是账号被封、是不是版本有 bug，然后把安装包卸了重装三遍。
绝大多数情况下，你重装的方向就错了。Kiro 官方安装文档里写了一条容易被跳过的说明：它支持 HTTP_PROXY 等环境变量形式的代理，但浏览器登录会绕过代理设置。 这一句话解释了”能上网却登不进去”这个矛盾感——因为在很多公司网络和需要代理的环境里，你的终端、你的编辑器走的是代理，而被拉起来完成登录的那个浏览器，走的是系统默认出口。两条路的连通性根本不是一回事。
这篇给你一份分层排查清单：先确认网络可达性，再确认代理是否覆盖到浏览器，再换登录方式做交叉验证，最后才看是不是账号侧的问题。四层从下往上走，每一层都有明确的”过了”或”没过”的判断，走完你至少能说清楚卡在哪一环，而不是只剩下”它就是登不上”这一句。
一个前提说明：具体的错误码和提示文案，本文一个都不会写。 官方文档里没有可核对的错误码表，我也不会凭印象编一串报错字符串给你去搜——那种”我这个提示跟文章里不一样，是不是我的情况更严重”的焦虑，通常都是被编造的报错文案制造出来的。所以下面出现的都是条件式描述：如果你看到的是哪一类提示，往哪个方向查。
一、先分清”登不进去”的三种形态
同样是登不进去，底下可能是完全不同的三件事，混在一起查就会越查越乱。
第一种是根本没走到认证那一步。表现是浏览器压根没弹出来，或者弹出来是个空白页、加载不出来。这一层的问题在网络和代理，跟你用哪个账号毫无关系。
第二种是认证走完了，但结果回不到客户端。表现是浏览器里该点的都点了、该授权的都授权了，页面提示你可以回去了，但客户端那边仍然停在登录界面。这一层通常是回调环节的问题，也可能是浏览器和客户端各自走了不同网络出口，两边的会话对不上。
第三种是登录其实成功了，卡的是登录之后。表现是能进去，但一用就报问题，或者进去以后功能是灰的。这一层往往和账号状态、组织策略、席位分配有关，不是登录本身的毛病。
先花三十秒判断自己是哪一种，能省掉后面一大半无用功。判断方法很粗暴：浏览器有没有弹出来、弹出来以后有没有走完、走完以后客户端有没有变化。 三个问号依次问下去就行。
二、第一层：确认网络可达性，但别只看”能不能上网”
这一层不是让你打开网页看看能不能上网——那个结论没有用。你要确认的是运行 Kiro 的那个环境能不能访问到它需要的服务。这两件事在公司网络里经常不一致。
有几个具体的确认动作值得做：
看你装的是哪个形态。 Kiro 有五个形态，各自的网络路径不完全一样：IDE 支持 macOS（Intel 与 Apple Silicon）、Windows 10/11 64 位、Linux（Ubuntu 24+、Debian 13+ 等）；CLI 支持 macOS、Windows 11（PowerShell）、Linux（glibc 2.34+）；Web 版任何现代浏览器都能用，不需要本地安装；Mobile 是 iOS，走 Apple TestFlight 分发；Crew 支持 macOS / Linux / Windows，需要 Python 3.9 以上。
这里面最有排查价值的是 Web 版。它不需要本地安装、不受你本机代理配置的影响，是一个天然的对照组：如果 Web 版能正常登录、本地 IDE 登不上，那问题几乎可以锁定在本地环境（代理、证书、防火墙）而不是账号；反过来如果 Web 版也进不去，那就该往账号侧和网络出口整体去查了。这个交叉验证成本极低，建议放在排查的最前面做。
确认系统版本是不是真的在支持范围内。 CLI 写的是 Windows 11 而不是 Windows 10，Linux 要求 glibc 2.34 以上，Crew 要 Python 3.9 以上。这些门槛不满足的时候，失败表现未必是”不支持”，也可能就是各种莫名其妙的连接错误。
回忆一下是不是某次更新之后才开始的。 Kiro 支持自动更新，也支持降级到早期版本。如果你的登录是在一次自动更新之后突然坏掉的，降级回上一个能用的版本是一个正当的排查手段——它能直接告诉你问题是不是版本引入的，比你在网上翻半天有用。
三、第二层：代理是否覆盖到浏览器（这是最核心的一层）
这一层是本文的重点，因为它解释了最反直觉的那种现象。
事实是这样的：Kiro 支持通过 HTTP_PROXY 这类环境变量配置代理，但浏览器登录会绕过代理设置。把这两句话拼在一起，结论就很清楚了——你在终端里 export 的那套代理变量，管得住 Kiro 自己发出去的请求，管不住它拉起来的那个浏览器。
于是就出现了这样的组合：
| 环节 | 走不走你配的 HTTP_PROXY | 常见结果 |
|---|---|---|
| Kiro 客户端自身的请求 | 走 | 正常 |
| 拉起浏览器完成登录这一步 | 不走 | 页面打不开 / 转圈 / 走到一半断 |
| 登录完成后回调到客户端 | 情况复杂，两边出口可能不一致 | 浏览器说成功了，客户端没反应 |
如果你所在的网络必须经过代理才能访问外部服务，那么第二行就是你的失败点：客户端那边一切正常，浏览器这边等于裸着出去，自然连不上。这也是为什么你反复重装客户端毫无效果——你修的一直是没坏的那一半。
针对性的做法有三个方向，按代价从低到高排：
第一，让浏览器自己有出口。 既然浏览器不吃你的环境变量，那就在系统级或浏览器级把代理配上，让它自己知道该怎么出去。环境变量和系统代理是两套配置，很多人只配了前者就以为全局生效了，这是最常见的误判。
第二，换个浏览器再试一次。 系统默认浏览器和你日常用的那个可能不是同一个，代理插件、企业策略、证书信任状态也各不相同。指定一个你确认网络正常的浏览器去完成登录，往往一次就过。
第三，改用不依赖本地浏览器环境的路径。 前面说的 Web 版是最省事的一条：直接在一个网络正常的浏览器里用，不牵扯本地客户端的代理配置。它未必是你想要的最终使用方式，但作为”先确认账号是好的”这个目的，足够了。
顺便提醒一句：如果你在公司网络里，代理之外还常有一层 TLS 中间人证书。这种环境下失败提示往往指向证书或安全连接，而不是超时。如果你看到的是证书类、安全连接类的提示，那就不是代理有没有配的问题，而是根证书信任的问题，得找 IT 拿企业根证书装到对应的信任库里——这一步你自己在客户端里怎么点都点不出来。
四、第三层：换登录方式交叉验证
Kiro 的登录是四选一：Google、GitHub、AWS Builder ID、组织身份认证。这四条路的依赖不一样，所以”换一种登录方式再试”不是瞎试，而是一次有信息量的对照实验。
| 登录方式 | 依赖什么 | 失败最可能卡在哪 |
|---|---|---|
| Google 账号服务可达 | 该服务在你的网络里是否能正常访问 | |
| GitHub | GitHub 账号服务可达 | 同上，且受浏览器已登录状态影响 |
| AWS Builder ID | AWS 侧的身份服务 | 账号本身是否已创建、是否在正确的身份体系里 |
| 组织身份认证 | 管理员侧的配置 | 不在你手上，得找管理员确认 |
这张表的用法是这样的：如果四种全都失败，问题在你和外网之间（回到第一、二层）；如果只有某一种失败，那就是那一种所依赖的服务或账号出了问题，跟 Kiro 本身没关系。
单独说一下最后一行。组织身份认证是这四种里唯一你自己修不了的。 它依赖管理员那边的配置是否做好、你的身份有没有被纳入、对应策略有没有生效。如果你走的是这条路且一直失败，正确的动作是去找管理员确认配置状态，而不是继续在客户端里试第十五次——你在客户端这一侧的任何操作都改变不了那边的配置。
另外注意浏览器里的已登录状态会干扰判断。你的浏览器里如果已经登着另一个 Google 或 GitHub 账号，登录流程可能默默用了那个账号，结果就是”登进去了但不是我要的那个账号”，表现出来又像是权限异常。用无痕窗口跑一遍能干净地排除这个变量。
五、第四层：确认是不是账号侧的问题（含一笔要会算的账）
前三层都过了，才轮到怀疑账号。这一层要分清两件经常被搞混的事：登不进去和进去了但不给用。
Kiro 的额度单位是 credit，个人版分五档：
| 档位 | 月价 | 含 credits | 超额单价 |
|---|---|---|---|
| KIRO FREE | $0 | 50 | 定价页未写明 |
| KIRO PRO | $20 | 1,000 | $0.04/credit |
| KIRO PRO+ | $40 | 2,000 | $0.04/credit |
| KIRO PRO MAX | $100 | 5,000 | $0.04/credit |
| KIRO POWER | $200 | 10,000 | $0.04/credit |
这里有一笔账值得你自己算一遍：PRO 档 $20 买 1,000 credits，折合每 credit $0.02；而超额单价是 $0.04/credit，正好是套餐内单价的 2 倍。同理 PRO+ 是 $40 / 2,000 = $0.02、PRO MAX 是 $100 / 5,000 = $0.02、POWER 是 $200 / 10,000 = $0.02——四个付费档的套餐内单价完全一致，都是 $0.02，差别只在你一次性买多少、以及超额时统一按 2 倍价往上叠。另外 FREE 档给 50，PRO 给 1,000，是 20 倍的差距，所以拿免费档试出来的体感去推算付费档够不够用，基本没有参考价值。
为什么在一篇讲登录的文章里说这个？因为额度耗尽和登录失败是两回事，但用户体感很像：都是”点了没反应""功能是灰的”。如果你能进到界面里、只是一用就不行，那多半是额度或权限，不是登录。这时候你要查的是当前账号在哪一档、这个月用掉了多少，而不是继续折腾登录流程。
团队场景还要多看一层：Kiro 团队版的 PRO / PRO+ / PRO MAX / POWER 价格与个人档相同（$20 / $40 / $100 / $200），但是按每用户每月计费，包含的 credits 数量与个人档一致，超额同样是 $0.04/credit。所以团队里如果有人”登进去了但没法用”，一个很实际的可能是席位没分配到他头上——这个同样得管理员去后台看，不是他本地能解决的。
诚实交代一个我查不到的部分：单个操作到底消耗多少 credit、credits 多久刷新一次，官方计费文档页当前是打不开的（返回 404）。所以我没法告诉你”你这个用法一个月大概烧多少”，任何给你精确数字的说法都请你先怀疑一下来源。想知道就只能自己测：固定一类任务、记录前后余额、跑几天取平均，比看任何估算都准。
如果你是学生身份，在确认账号档位之前还可以先看一下有没有免费资格可用，别急着掏钱开档，具体条件见 Kiro 学生免费怎么申请。
六、把清单收成可执行的顺序
上面四层，压缩成实际操作顺序是这样的：
- 先用 Web 版登一次。 成本最低、信息量最大。能进 → 问题在本地环境；进不去 → 直接跳到第 3、4 步。
- 检查代理有没有覆盖到浏览器。 环境变量配了不等于浏览器走代理，这两套是分开的。换一个网络正常的浏览器再试。
- 换一种登录方式。 四种里换一种，判断是全局问题还是某个身份服务的问题。用无痕窗口避免已登录账号干扰。
- 走组织身份认证的，直接找管理员。 这条路上你在客户端侧做什么都没用。
- 能进界面但用不了的，去查档位和席位。 那不是登录问题。
- 是自动更新之后才坏的，降级到早期版本验证一次。
还有一件事建议你顺手做：记录下来你到底看到了什么。 是浏览器没弹出来，还是弹出来打不开，还是走完了客户端没反应——这三句话的信息量，比”登录失败”四个字大得多。无论你是自己继续查还是去找 IT、找管理员，这句描述都决定了对方能不能第一时间帮到你。
顺带一提，“用着用着突然不给用了”这种体感不只 Kiro 有，不同工具的应对逻辑差别很大——有的是降速继续用，有的是加钱续，有的只能等。想看另一种典型处理方式，可以对照 Cursor 快速请求用完了怎么办。
最后
Kiro 登录失败这件事，真正的难点不是修，而是定位。它的失败表现高度趋同——都是转圈、都是没反应——但底下的成因分散在网络、代理、浏览器、身份服务、管理员配置、账号档位六个完全不同的地方。你在客户端界面上反复点重试，等于是在用一个只有一个输出的仪器去测六个变量，怎么点都得不出结论。
如果只让我留一句，那就是这句：Kiro 支持 HTTP_PROXY 等环境变量，但浏览器登录会绕过代理设置。 在公司网络里，这一条能解释掉相当大比例的”网络明明是好的却登不进去”。先把这一条排掉，再往上走，比什么都省时间。
最后重申一遍边界：本文没有写任何具体的错误码和提示原文，因为官方没有给出可核对的错误码表，我不想让你拿着一串编出来的字符串去比对自己的屏幕。你看到的提示属于哪一类——网络超时类、证书安全类、权限拒绝类——比它的原文措辞更有用，按类走上面的分层清单就行。