Claude Code 2.1.323 新增实验性 Code Mode，并收紧 Bash 和沙箱权限检查

根据 Claude Code v2.1.323 的发布说明，该版本于 2026 年 11 月 12 日发布，新增内容包括：

• Code Mode： 一项实验性选择加入功能，Claude 可通过编写 JavaScript 来调用工具。文档说明了如何启用该功能，或如何为整个组织关闭它。
• 插件： plugin.json 支持 engines["claude-code"]；若插件不在其声明的 Claude Code 版本范围内，则不会安装、更新或加载；安装和更新时会选择符合范围的最新版本。claude plugin validate 现在会对插件的 TypeScript hooks 模块进行类型检查，使用 --strict 则会在发现任何问题时失败。
• 用量额度： 当模型需要的用量额度已关闭或用尽时，会显示选项菜单（停止、切换至用量额度、升级）。此外，针对 Fable 每周限额提示和重置时间修复了若干问题。
• 其他新增内容： 托管设置中新增 CLAUDE_CODE_AUTO_MODE_MODEL，用于第三方提供商上的 Claude Desktop 会话；Artifact 工具的资源上传支持 .docx；在 claude -p 和 SDK 会话中，钩子运行时间较长时每 30 秒显示一次进度心跳；启动时会警告 Bash 允许规则的变量值中包含 *。

权限与沙箱。 此版本修复了许多 Bash 命令可能无需权限提示就运行，或在沙箱外运行的情况（带有附加通配符的允许规则，例如 Bash(ls*)、组合使用的 sudo 标志、被 sudo 和 env 遮挡而未能匹配的拒绝和询问规则、sandbox.excludedCommands、根据错误文件夹判断的 rm，以及 Write 和 Edit 访问被 Read 拒绝规则覆盖的路径）。可能影响现有配置的改动包括：

• 当自动模式不可用时，--permission-mode auto 或 defaultMode: auto 现在会以手动模式启动。
• 看起来包含机密内容，或会保存到受 Git 跟踪的 settings.local.json 中的“不要再询问”规则，仅在当前会话内有效。
• 在 macOS、Linux 和 WSL 上，Bash 沙箱会忽略通过指向其他位置的符号链接授予的写入权限；在沙箱内，git worktree add、move 和 remove 会以只读方式失败。
• 如果包含 sandbox 键的 --settings 文件不是有效 JSON，启动会停止。
• /security-review 运行前会先询问；创建 worktree 时，如果检出目录的 .git 文件夹是链接或包含硬链接，则会拒绝创建。
• 对无法识别的模型 ID，假定的上下文窗口从 200K 调整为 1M；设置 CLAUDE_CODE_DISABLE_1M_CONTEXT=1 可保留 200K。
• 单个会话无需提示即可向其他会话发送的消息数量上限，从约 20 条提高到 100,000 条。
• 移除了 subagentStatusLine 设置；插件的 agent 设置已弃用，现在会发出警告。

此版本还对 Remote Control、Claude Code on the web、VS Code、Claude Tag（包括 Compliance API 中的 Slack 会话，该功能在 Enterprise 计划中处于测试阶段）和 Code Review（审查成本 CSV 导出）进行了更新，并修复了许多与登录、MCP、OpenTelemetry 导出和终端显示有关的问题。