Claude Code v2.1.309：沙盒啟動檔不再在沙盒外執行、denyWrite 經 symlink 失效等一批沙盒與權限缺口修正

Claude Code v2.1.309（2026-10-22）的更新說明裡，沙盒與權限的修正占了大半。同一週的 v2.1.304 到 v2.1.307 也有幾項安全相關的調整。以下全部引自官方 changelog；「這代表什麼」的部分是我的推論，會明說。

v2.1.309：沙盒修正

• macOS 與 Linux 上，沙盒化的 Bash 命令原本會在每條命令之前，於沙盒外執行 shell 的啟動檔，現已修正。
• macOS 沙盒的 denyWrite glob 在該資料夾是透過 symlink 抵達時，原本不會套用在路徑的真實位置，現已修正。官方沙盒文件也寫了 macOS 上被拒絕的路徑經過 symlink 時，會連真實位置一起拒絕。
• 沙盒化命令與自動接受的編輯，原本能修改用 --mcp-config 傳入的 MCP 設定檔，現已修正。
• Linux：背景命令比 session 活得更久時，沙盒的寫入拒絕會失效，現已修正。
• 被設定排除在沙盒外的命令，在沙盒已啟用卻無法執行時，寫入沙盒的寫入清單路徑前會先詢問，沒沙盒的後備路徑被拒絕。

v2.1.309：權限檢查的缺口

• Bash 權限檢查原本會信任「由一條重新導向可能開檔失敗的命令所設定的變數」，現已修正。
• 先 cd 再跑 git 的複合命令，若 cd 被包起來或加了前綴，原本不會像單純的 cd 那樣跳出確認，現已修正。
• Edit(path) 的 deny 規則，在有子 shell 的某些命令裡擋不住指向該路徑的重新導向，現已修正。
• Windows：PowerShell 對某些針對目前目錄並帶額外參數的 Set-Location／cd 會自動核准，現在改為詢問。
• print 與 SDK session 裡，已停用的 MCP 伺服器原本會被之後的權限提示重新連線，現已修正。

行為變更，升級前要知道

• sed -i 現在當作一般 Bash 命令詢問並照原樣執行，不再是模擬的檔案編輯預覽，也不會被 /rewind 還原。如果你習慣用 /rewind 撤銷 sed -i，這個保護沒了。
• claude ultrareview 需要 workspace trust：在終端機會詢問，否則拒絕。腳本要傳 --trust-workspace（不接值，PR 編號或 base branch 要放在它前面），或設 CLAUDE_CODE_DISABLE_ULTRAREVIEW_TRUST_CHECK=1。
• Desktop app 與 VS Code 的 bypass permissions 模式下，危險的 rm／rmdir 現在立刻拒絕並附改寫提示，讓無人值守的 session 繼續跑。
• 太大的巢狀 CLAUDE.md 現在只載入開頭，避免讀到它之後 session 反覆壓縮。

同週其他幾項

• v2.1.304：對掛載磁碟或頂層資料夾（例如 /Volumes、/media、/mnt/c）的 rm -r 現在會跳安全提示。
• v2.1.307：新增 claude_code.safety_event OpenTelemetry 事件，對每個被權限規則、auto mode、安全檢查、hook 或沙盒擋下、詢問或退回的工具呼叫發出一次。
• v2.1.305：新增 sandbox.allowNestedUserNamespaces，官方明說這會讓沙盒化命令繞過沙盒的檔案保護。

這代表什麼（我的判斷）

更新說明只寫「修了什麼」，沒有說明是否有人實際利用過，也沒有給 CVE 編號，我也沒找到獨立來源說明利用情況，所以不要把它讀成「已有攻擊事件」。比較有用的角度是：這批修正集中在「沙盒與權限檢查的邊角」，也就是你在沙盒上依賴的假設（啟動檔不在沙盒外跑、deny 規則經過 symlink 仍有效、設定檔不被沙盒內命令改寫）。如果你的團隊把沙盒當成無人值守 session 的主要防線，值得升級到 v2.1.309 以上；是否真的需要，取決於你是否用到上面這些路徑，這一點我無法替你判斷。