Claude Code 2.1.314 给写文件划了条线：出了项目目录就拒绝，外加闲置自动压缩

10 月 30 日发布的 Claude Code 2.1.314， headline 不是新模型，是两个你得自己动手开的设置。第一个叫 permissions.blockWritesOutsideWorkingDirectories：打开后，Write、Edit、NotebookEdit 这三个写文件工具在任何权限模式下都拒绝项目目录之外的路径。注意它的边界：官方 changelog 只点了这三个工具的名，没有说它管得了 Bash、MCP 或者系统层面的操作，也没有说明符号链接怎么算——把它当成一道写文件专用护栏，别当成沙箱。

第二个变化是闲置压缩进 VS Code 和 Claude Desktop 的 Code 标签页：超过 20 万 token 的会话放着不动，会在后台被总结；你回来发下一条消息时，如果提示缓存已经过期，就用这份总结接着聊，不用重新把整段历史灌一遍。/config 里新增了 Idle compaction 一行，可以关也可以再开；关了 telemetry 的订阅用户、以及 Bedrock、Vertex、Foundry 这类网关用户，在一小时缓存开启的前提下也能用上。

我的判断：这版真正值钱的是“默认不替你兜底，但给你一把能锁门的锁”这个姿态。过去很多 agent 翻车不是模型笨，是权限一路放行：你在宽松模式下跑长任务，某一步写错了目录，事后才发现改的是别处文件。把写边界先锁死，再谈效率，才是能长期跑下去的顺序。操作就三步：升级到 2.1.314，到设置里打开 blockWritesOutsideWorkingDirectories，到 /config 确认 Idle compaction 的状态；长会话回来发现被压缩了，先看提示里写的关闭方法，别急着怪模型“失忆”。

顺带更新一条前情：Cursor 市场里的 Claude Code 扩展后门事件，Cursor 在 10 月 30 日修订了安全通告，把受影响版本从 2.1.313 扩大到 2.1.312 和 2.1.313 两个版本（Mac 与 Windows），并补了 Linux 相关指标；攻击者服务器已被下线。官方 changelog 从 2.1.312 直接跳到 2.1.314，没有 2.1.313 这一条——如果你在 Cursor 市场装过这两个版本，单升级不够，还要按通告查 authorized_keys 里有没有 svc-telemetry 这把钥匙。

什么情况下这篇结论不成立：你只用终端版 Claude Code、从不跨目录写文件，那写边界对你几乎没感觉；闲置压缩省的是缓存过期后的重算钱，缓存还没过期就回来的会话，收益也有限。