Claude Code 修复存储 API key 优先于企业登录导致托管策略未生效的漏洞
Managed Settings Not Applied When a Stored API Key Was Preferred Over Enterprise Sign-In
AI 导读
Anthropic 披露 Claude Code 的一个漏洞：当 Claude Code 存储的 API key（例如来自此前的 /login 或直接写入配置）优先于用户有效的 Claude Enterprise 或 Team 登录时，获取组织服务器托管设置会使用该 key，即使会话本身以企业或团队账号认证。设置端点拒绝该 key 后，会话会在缺少组织服务器托管策略（如权限拒绝规则、模型限制和仅托管锁定）的情况下启动，或继续沿用机器上已缓存的旧策略而不接收后续策略变更，同时仍以组织账号运行。触发需要本地访问存有该 API key 的设备，无策略情形还要求此前未缓存过托管设置；端点托管（MDM 或文件）设置不受影响。Claude for Enterprise 组织自 2.0.68 版本起受影响，Claude for Work（Team）组织自 2.1.38 版本起受影响。 厂商表示，该问题已在 Claude Code 2.1.260 中修复。
推荐理由
公告披露了 Claude Code 在存储 API key 优先于企业登录时跳过组织托管策略的漏洞，并给出受影响版本与修复版本。