Claude Code 沙箱隔离完全指南

Claude Code 具有原生沙箱隔离功能，为代理执行提供更安全的环境，同时减少对持续权限提示的需求。沙箱化 bash 工具使用操作系统级别的原语来强制执行文件系统和网络隔离。

为什么沙箱隔离很重要

传统的基于权限的安全性需要对 bash 命令进行持续的用户批准。沙箱隔离通过以下方式解决这些挑战：

定义清晰的边界：精确指定 Claude Code 可以访问的目录和网络主机
减少权限提示：沙箱内的安全命令不需要批准
维护安全性：尝试访问沙箱外的资源会触发立即通知
启用自主性：Claude Code 可以在定义的限制内更独立地运行

重要提示：有效的沙箱隔离需要同时进行文件系统和网络隔离。

工作原理

文件系统隔离

默认写入行为：对当前工作目录及其子目录的读写访问
默认读取行为：对整个计算机的读取访问，除了某些被拒绝的目录
阻止访问：无法在没有明确权限的情况下修改当前工作目录外的文件
可配置：通过设置定义自定义允许和拒绝的路径

网络隔离

域名限制：只能访问批准的域名
用户确认：新的域名请求会触发权限提示
自定义代理支持：高级用户可以在出站流量上实现自定义规则
全面覆盖：限制适用于所有脚本、程序和由命令生成的子进程

操作系统级别的强制执行

Linux：使用 bubblewrap 进行隔离
macOS：使用 Seatbelt 进行沙箱强制执行

启用沙箱隔离

通过运行 /sandbox 斜杠命令启用沙箱隔离：

> /sandbox

沙箱模式

自动允许模式：Bash 命令将尝试在沙箱内运行，并自动允许而无需权限。

常规权限模式：所有 bash 命令都通过标准权限流程，即使是沙箱化的。

配置沙箱隔离

通过 settings.json 文件自定义沙箱行为：

json

{
  "sandbox": {
    "enabled": true,
    "autoAllowBashIfSandboxed": true,
    "excludedCommands": ["docker"],
    "network": {
      "allowedDomains": ["github.com", "*.npmjs.org"],
      "allowUnixSockets": ["/var/run/docker.sock"]
    }
  }
}

安全优势

防止提示注入

即使攻击者通过提示注入成功操纵 Claude Code 的行为，沙箱也确保您的系统保持安全：

文件系统保护：

无法修改关键配置文件，如 ~/.bashrc
无法修改 /bin/ 中的系统级文件
无法读取在权限设置中被拒绝的文件

网络保护：

无法向攻击者控制的服务器泄露数据
无法从未授权的域下载恶意脚本
无法向未批准的服务进行意外的 API 调用

减少攻击面

沙箱隔离限制了以下可能造成的损害：

恶意依赖：具有有害代码的 NPM 包或其他依赖
被破坏的脚本：具有安全漏洞的构建脚本或工具
社会工程：欺骗用户运行危险命令的攻击
提示注入：欺骗 Claude 运行危险命令的攻击

高级用法

自定义代理配置