Claude Code 2.1.325 修复 zstd 解码安全问题，并默认要求沙箱 Bash 命令申请权限

根据发布说明，Claude Code v2.1.325 于 2026 年 11 月 13 日发布，修复了 zstd 压缩响应解码方式中的安全问题，收紧了权限和沙箱行为，并包含大量其他修复。

可能影响现有配置的变更：

• 沙箱中的 Bash 命令现在默认遵循常规权限流程。设置 sandbox.autoAllowBashIfSandboxed: true 可让它们继续在不弹出提示的情况下运行；对于启用沙箱的托管设置，请在优先级最高的托管来源中设置此项。
• 在不属于当前项目或不受信任的仓库中，运行只读 git 命令前会先询问；使用 --add-dir 指定该仓库（而非 additionalDirectories 设置）即可避免提示。
• 定时任务和 /loop 在运行声明了 allowed-tools 或 hooks 的技能前会先询问；将 Skill(name) 添加到 permissions.allow，即可让其在无人值守时运行。
• 在 Desktop、IDE 和 SDK 宿主中，只有当保存规则后该命令确实能够再次运行时，“始终允许”才会仅提供规则选项。因此，依赖该选项的定时任务现在可能会等待用户输入。
• 沙箱会拒绝对新增目录中的 .claude 设置、技能、代理、命令和 hooks 进行写入；启动目录此前也有同样的限制。
• 隔离的 worktree 会话或代理无法运行 git bisect run、git maintenance register|start 以及 scalar 的设置命令。
• 插件 MCP 包（.mcpb、.dxt）会解压到 plugins 目录；pluginDigests 已弃用并会被忽略；从其上级目录启动的会话不再加载 --plugin-dir 插件中的 .claude/skills 文件夹。
• Marketplace 的 ref 可接受任意提交的完整 ID；早于此版本的客户端无法克隆此类固定版本。若 ALL_PROXY 是唯一设置的代理，插件下载会使用 CONNECT 隧道；拒绝 CONNECT 的代理现在会导致下载失败。
• claude remote-control 自行停止时以状态码 4 退出，无法注册时以状态码 69 退出。
• CLAUDE_CODE_MAX_CONTEXT_TOKENS 也会设置无法识别的 claude- 模型 ID 的上下文窗口，例如网关提供的别名。

权限和沙箱修复涵盖以下情况：复合 Bash 命令可能未经询问就运行；Bash 允许规则可能运行与规则中指定内容不同的程序；某些拒绝和询问规则未生效；执行 cd 后，Read(./.env) 等相对拒绝规则不再覆盖项目；以及 Bash 沙箱未能充分保护 worktree 的设置、hooks 和共享 git 文件夹。还有多项修复涉及向组织外部可见的页面发布 Artifact。

其他新增内容：VS Code 中新增提示建议（按 Tab 接受）以及不会创建 API key 的 Console 登录方式；新增提示，建议重新运行 notebook 单元格；策略阻止的错误下方新增提示，建议运行 /rewind 或 /clear。其余修复涉及身份验证和登录、MCP 任务与 elicitation、子代理模型、会话恢复、OpenTelemetry 事件，以及 Windows 和 Linux 行为。