Claude Code 2.1.309：把能绕过的路一条条堵上
10月22日到23日，Claude Code连发2.1.308、2.1.309、2.1.310三个版本。2.1.308只列了常规修复，真正有内容的是后两个，主题都是收紧沙箱与权限模型。
具体有五处变化值得逐条看。第一，macOS与Linux上的沙箱Bash不再在沙箱外执行shell启动文件，堵住一条通过shell配置绕过沙箱的路径。第二，沙箱命令与自动接受的编辑不能再修改通过mcp-config参数传入的文件，MCP配置从可写变成了只读。第三，sed -i现在走标准Bash权限提示，并且不再被/rewind恢复，就地改文件的操作回到了用户的视野里。
第四，claude ultrareview现在要求工作区信任，未受信任的目录不能再触发深度审查。第五，bypass-permissions模式下，Desktop与VS Code会立即拒绝危险的rm和rmdir命令，并建议改写。
Windows用户还有一个容易被忽略但很关键的修复：PowerShell hooks以退出码2结束时现在能正确阻断；同时，当机器上缺少Git for Windows时，PreToolUse与PermissionRequest hooks不再fail open。如果你把hooks当成策略层来用，这条是本次最重要的改动，因为过去一个缺失的依赖就能让工具调用静默通过。
Claude Code 2.1.310：网关兼容与企业角色
2.1.310在10月23日发布，方向转向团队落地。Monitor工具与插件monitor现在支持Amazon Bedrock、Google Vertex和Foundry。某些网关会拒绝effort相关的beta值或会话中途插入的system message，现在Claude Code会自动去掉这些字段重试，而不是直接报错。
还有一个实用修复：Prompt is too long错误后的压缩会保留base64、SVG这类低密度文本，让下一次请求更不容易失败。云会话与Remote Control权限现在可通过企业自定义角色配置，不必逐个账号调整。
另外2.1.305的sandbox.allowNestedUserNamespaces允许Linux沙箱内命令创建用户命名空间，跑Chromium或无根podman时用得上，但官方警告这会削弱文件保护，只在确实需要时开启。
Codex CLI 0.164.0：凭据不再进transcript
同一批里，Codex CLI 0.164.0在10月23日从多轮alpha转为稳定版。/presets给十个编号槽位保存常用prompt和斜杠命令，配合/model与/permissions的内联参数，一条命令就能切整套配置。全屏transcript在Kitty与Sixel终端里可以显示图片预览，Amazon Bedrock的设置向导改为默认开启。
但对企业用户更有价值的是两处安全改动。其一，MCP服务器现在可以通过符合条件的Codex账号授权或专用登录完成认证，包括需要client secret的OAuth客户端。其二，凭据打码覆盖到了远端Bash命令与Zsh快照会话，包含来自自定义供应商的凭据，密钥不再出现在transcript和日志里。
可靠性方面也补了几处：压缩失败不再在历史里留下半截摘要，恢复会话时能还原保存的线程设置，Windows代理认证改用登录用户凭据，沙箱检查加强了对macOS大小写变体路径与可替换符号链接的防护。
这一轮更新没有新模型，全是把口子收紧。判断一个编码工具能不能进生产，看的不是它能跑多快，而是权限失败时是默认放行还是默认阻断。
粤公网安备44130202001736号