Claude Code v2.1.325 发布：修复 zstd 解码安全问题并调整沙箱权限默认行为

Anthropic 于 2026 年 11 月 13 日发布 Claude Code v2.1.325。该版本首先修复了 zstd 压缩响应解码方式中的安全问题，随后围绕沙箱权限默认行为、插件与 MCP 连接、子代理模型选择、会话恢复与登录流程做出一批行为变更和缺陷修复，并同步更新 VS Code 扩展。

安全修复与沙箱权限默认行为调整

v2.1.325 修复了 zstd 压缩响应解码方式中的安全问题，这是本次发布列在最前的变化。与权限相关的调整更直接影响日常使用：沙箱内 Bash 命令默认改为遵循常规权限流程，若希望继续免提示运行，需要设置 sandbox.autoAllowBashIfSandboxed: true。对于通过托管设置开启沙箱的环境，同样要在最高优先级的托管来源中设置该项，才能保持命令免提示执行。

沙箱边界也进一步收紧：沙箱现在拒绝向已添加目录中的 .claude 设置、技能、代理、命令和钩子写入，与启动目录中的处理一致；同时修复了 Bash 沙箱未能完全保护 worktree 设置与钩子、以及链接 worktree 共享 git 目录的情况。只读 git 命令在非项目或未受信任仓库中改为先询问，需通过 –add-dir 指定仓库才能免提示运行。

子代理、模型与会话恢复修复

本次修复了多个与子代理模型选择有关的问题：当模型设置为 opusplan 或 haiku 时，拥有独立模型的子代理不再被切换到计划模式所用模型；使用不同模型的子代理也不再按主会话模型来估算文件读取和 MCP 结果的大小。子代理在输出 token 上限被截断时，现在会被要求以更简短的方式重新给出完整答案，而不是只返回结尾部分。

会话层面，修复了 Claude Code 未正常退出后恢复会话时近期轮次偶尔丢失的问题；还修复了在 Code Mode 脚本期间结束的会话被恢复后 Claude 自行开始工作的情况，现在会等待下一条提示。多类第三方网关和 Foundry 上每轮都因上下文长度报错而不压缩的问题也在修复之列。

插件、MCP 与连接器行为变更

插件方面，插件 MCP 包（.mcpb、.dxt）改为解压到 plugins 目录下，而非插件文件夹内的 .mcpb-cache，以便只读插件文件夹也能加载；通过 URL 获取的包会重新下载一次。托管设置声明、启用并列入 prependPlugins 或 appendPlugins 的远程市场插件，现在视为组织插件，pluginDigests 已弃用并被忽略。插件安装提示也改为明确说明插件可在本机运行代码、访问文件和 shell。

MCP 相关修复覆盖连接替换、认证刷新和后台任务：服务器连接在工具调用期间被替换后，无头模式下的 elicitation 请求不再被静默取消；短暂被拒的 token 刷新不再让服务器一直停留在需要认证状态；后台 MCP 任务的问题弹窗会等到当前草稿发送或清空后再出现，按 Esc 则改为稍后回答，问题保留在 /tasks 中。

权限规则、登录与错误提示改进

权限规则修复涉及相对路径、插件 MCP 规则和 Bash 检查：相对 deny 与 ask 规则（如 Read(./.env)）在 cd 之后不再覆盖项目，现在也会在已添加目录中生效；以 mcp__plugin_*_ 开头且大小写不同的规则不再漏掉插件服务器或工具；Bash 权限检查中部分复合命令可未经询问执行的缺口已补上，这些命令现在会请求权限。

登录与提示方面，/login 现在会请求更改隐私设置的许可；无密钥 Console 登录下 /fast 不再误报组织已禁用快速模式；/model 在无法检查组织限制时不再声称组织限制了某模型。组织策略阻止请求时，错误信息下方会提示可运行 /rewind 修改消息或运行 /clear 继续。

VS Code 扩展与跨平台修复

VS Code 扩展新增提示建议：在终端显示提示建议的位置同样可用，按 Tab 接受建议的下一条提示，在 Claude Code 的 settings.json 中设置 promptSuggestionEnabled: false 可关闭。扩展还新增不创建 API 密钥的 Console 登录，以及在 SSH、WSL 和容器窗口中从面板登录 MCP 服务器时粘贴重定向 URL 的输入框。

跨平台修复包括：Windows 上 PATH 条目位于账户无法打开的文件夹下时约一秒的启动卡顿；Windows 上 /resume 因盘符大小写或斜杠差异拒绝或隐藏会话；Linux 上工作目录位于 denyRead 内 allowRead 文件夹之下时沙箱 Bash 报 bwrap 错误。Claude Desktop 第三方部署在 token 续期完成前停留在 Stopping 状态的问题也已修复。

知序观察

观察：这次发布的安全修复本身信息有限，但沙箱 Bash 默认改走权限流程、插件包解压位置调整、托管插件认定规则变化，都会改变已有工作流的行为，升级后可能需要显式配置才能维持免提示运行。大量修复集中在子代理模型、MCP 连接和会话恢复，说明这些路径的边界情况仍是维护重点，但原文未披露各问题的实际影响范围。