Claude Code 2.1.309 修复沙箱、MCP 配置与工作树隔离问题
先了解这件事
Anthropic 发布 Claude Code 2.1.309，修复 shell 启动文件脱离沙箱执行、MCP 配置可被改写，以及多种权限和 worktree 隔离绕过问题。
变化是什么
该版本让 macOS 和 Linux 的沙箱 Bash 启动文件在沙箱内执行，阻止 sandboxed 命令和自动接受的编辑修改 --mcp-config 指定的配置文件，并修复权限检查和 worktree 隔离规则的多项绕过。
对你意味着什么
对在代码库中使用 Claude Code 沙箱、MCP 配置或隔离 worktree 的团队，这些修复减少了超出既定文件与命令边界的修改风险；升级前应按现有权限策略进行回归测试。
Anthropic 已发布 Claude Code 2.1.309。这是一次以安全和隔离可靠性为中心的版本更新。对于 macOS 与 Linux，发布说明修复了 Bash 在每次执行命令前让 shell 启动文件在沙箱外运行的问题；在 macOS 上，denyWrite glob 规则经由符号链接访问路径真实位置时也会正确生效。
新版还阻止 sandboxed 命令和已自动接受的编辑修改通过 --mcp-config 传入的 MCP 配置文件。与此同时，它修复了 disabled MCP server 在 print 与 SDK 会话中可能被后续权限提示重新连接的情形，以及多种 Bash 权限检查遗漏：包括可失败重定向影响变量信任、某些带有包装或前缀的 cd 加 git 复合命令未提示，以及包含子 shell 的命令中 Edit(path) deny 规则未拦截 Bash 重定向。
使用 worktree 隔离的团队也应注意，发布说明修复了某些带 locale 前缀或 zsh 算术命令被隔离守卫错误放行的问题。Anthropic 同时说明，Claude Code 创建的 worktree 和分支检出现在会像其他 Git 操作一样忽略 git replace refs。
建议先在非生产工作区升级：检查带 --mcp-config 的自动化、符号链接下的写入拒绝、Bash 审批策略及 worktree 任务。该版本缩小了现有边界的绕过面，但不会替代最小权限配置、代码审查或密钥隔离。
相关工具
想比较同类工具：Claude Code 的替代品
事实核查
- 已核实Claude Code 2.1.309 fixes macOS and Linux sandboxed Bash commands that ran shell startup files outside the sandbox, and fixes macOS denyWrite glob patterns when a matching path is reached through a symlink.依据
- 已核实The release prevents sandboxed commands and auto-accepted edits from modifying the MCP configuration file passed with --mcp-config, and fixes multiple permission-check and worktree-isolation bypasses.依据
报道时间线
- 一手来源AnthropicClaude Code v2.1.309 release notes