给沙盒留了扇窗，还叫沙盒吗？ 10 月 20 日，Claude Code 2.1.305 上线。 更新日志里躺着一行实诚到离谱的新设置：sandbox.al… · @chenYijl · TwKit

@chenYijl

给沙盒留了扇窗，还叫沙盒吗？ 10 月 20 日，Claude Code 2.1.305 上线。 更新日志里躺着一行实诚到离谱的新设置：sandbox.allowNestedUserNamespaces。 Linux 上开了它，沙盒里的命令就能自己创建用户命名空间，官方括号备注：为了跑 Chromium 和 rootless podman。 代价官方也写明白了：这会让沙盒命令绕过沙盒的文件保护。 懂了。墙没倒，窗是官方开的🔓。 社区里早有人抱怨：在 Ubuntu 26.04 上，Claude Code 的沙盒根本起不来，AppArmor 把嵌套 user namespace 掐得死死的，连官方自家的 seccomp 助手都被拦在门外。 不给这个开关，Chromium 这类工具在沙盒里就是摆设；给了开关，文件隔离就开了天窗。 Anthropic 的选择很诚实：安全还是好用，它不替你做主。 但这也意味着，沙盒的最后一道防线，是你自己的手。

曝光 24 · 评论 2 · 点赞 2 · 书签 0