Claude Code 2.1.325 修正 zstd 解碼安全問題，並預設要求沙箱 Bash 指令取得許可

根據 Claude Code v2.1.325 的版本說明，該版本於 2026 年 11 月 13 日發布，包含一項修正 zstd 壓縮回應解碼方式的安全更新、更嚴格的權限與沙箱行為，以及一長串其他修正。

可能影響現有設定的變更：

• 沙箱中的 Bash 指令現在預設會遵循一般權限流程。設定 sandbox.autoAllowBashIfSandboxed: true，即可讓這些指令在不跳出提示的情況下執行；若受管理的設定啟用了沙箱，請在優先級最高的受管理來源中設定此選項。
• 在非專案或非信任的儲存庫中，唯讀 git 指令會先要求許可；使用 --add-dir（而非 additionalDirectories 設定）指定該儲存庫，即可避免提示。
• 排程工作與 /loop 在執行宣告了 allowed-tools 或 hooks 的 skill 前，會先要求許可；將 Skill(name) 加入 permissions.allow，即可讓它在無人值守的情況下執行。
• 在 Desktop、IDE 和 SDK 主機中，只有在儲存規則後能讓該指令再次執行時，「一律允許」才會只提供規則選項，因此，依賴該選項的排程工作現在可能會等待使用者輸入。
• 沙箱會拒絕在新增目錄中寫入 .claude 設定、skills、agents、commands 和 hooks；啟動資料夾中原本就有相同限制。
• 隔離的 worktree 工作階段或代理程式會拒絕執行 git bisect run、git maintenance register|start 和 scalar 的設定指令。
• Plugin MCP 套件（.mcpb、.dxt）會解壓縮至 plugins 目錄；pluginDigests 已棄用且會遭忽略；從其上層目錄啟動的工作階段，不再載入 --plugin-dir 外掛中的 .claude/skills 資料夾。
• Marketplace 的 ref 可接受任何 commit 的完整 ID；此版本之前的用戶端無法複製這類指定版本。若 ALL_PROXY 是唯一設定的代理伺服器，外掛下載會使用 CONNECT 通道；拒絕 CONNECT 的代理伺服器現在會導致下載失敗。
• claude remote-control 自行停止時會以狀態碼 4 結束，無法註冊時則以狀態碼 69 結束。
• CLAUDE_CODE_MAX_CONTEXT_TOKENS 也會設定無法辨識的 claude- 模型 ID（例如閘道的別名）的上下文視窗大小。

權限與沙箱修正涵蓋以下情況：複合 Bash 指令可能未經詢問就執行；Bash 允許規則可能執行與規則所列不同的程式；部分拒絕與詢問規則未生效；在執行 cd 後，Read(./.env) 等相對路徑拒絕規則不再涵蓋專案；以及 Bash 沙箱未能完整保護 worktree 的設定、hooks 和共用 git 資料夾。多項修正也涉及將 Artifact 發布至組織外部可見的頁面。

其他新增項目：VS Code 中的提示建議（按 Tab 接受）與不建立 API key 的 Console 登入；關於重新執行 notebook 儲存格的載入提示；以及在遭政策封鎖的錯誤下方，提示使用者執行 /rewind 或 /clear。其餘修正涉及登入、MCP 工作與 elicitation、子代理模型、工作階段恢復、OpenTelemetry 事件，以及 Windows 和 Linux 行為。