Sandbox 与 Dev Container

当你让 Claude Code 少问确认、自动跑测试、处理第三方仓库或在 CI/远程环境里执行任务时,要先决定隔离边界。权限规则控制“能不能运行”,sandbox 和容器控制“运行后能碰到什么”。

#隔离方案对比

内置 Bash sandbox 只约束 shell 命令。内置 Read/Edit、MCP server 和 hooks 不一定在同一个 OS 边界里。需要更强隔离时,用 Sandbox runtime、容器或 VM。

#Dev Container 基线

最小 .devcontainer/devcontainer.json:

{
  "image": "mcr.microsoft.com/devcontainers/base:ubuntu",
  "features": {
    "ghcr.io/anthropics/devcontainer-features/claude-code:1.0": {}
  }
}

常见增强:

{
  "mounts": [
    "source=claude-code-config-${devcontainerId},target=/home/node/.claude,type=volume"
  ],
  "containerEnv": {
    "CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC": "1",
    "DISABLE_AUTOUPDATER": "1"
  }
}

~/.claude 存放认证、用户 settings 和 session history。没有 volume 时,每次 rebuild 都要重新登录。用 ${devcontainerId} 可以按项目隔离认证状态。

#容器里的组织策略

在 Linux 容器中,Claude Code 会读取 /etc/claude-code/managed-settings.json:

RUN mkdir -p /etc/claude-code
COPY managed-settings.json /etc/claude-code/managed-settings.json

这适合统一默认值,但它仍然在项目仓库里,有写权限的人可以改 Dockerfile。真正不可绕过的策略应通过 MDM、server-managed settings、系统文件或平台策略下发。

#网络出口

Dev Container 可以用防火墙脚本只允许必要域名。参考做法:

如果完全禁用非必要流量,设置:

export CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1

但安装、插件、WebFetch、Chrome bridge 或 Artifacts 仍可能需要额外域名。企业应把“模型请求域名”和“客户端辅助流量域名”分开列。

#凭据保护

不要把宿主机长期凭据直接 mount 进容器,尤其是:

• ~/.ssh
• ~/.aws/credentials
• ~/.config/gcloud
• .env
• npm、GitHub、云厂商长期 token

更稳的做法:

如果启用 Claude Code sandbox,还可以保护常见凭据:

{
  "sandbox": {
    "enabled": true,
    "credentials": {
      "files": [
        { "path": "~/.aws/credentials", "mode": "deny" },
        { "path": "~/.ssh", "mode": "deny" }
      ],
      "envVars": [
        { "name": "GITHUB_TOKEN", "mode": "deny" },
        { "name": "NPM_TOKEN", "mode": "deny" }
      ]
    }
  }
}

#权限模式搭配

--dangerously-skip-permissions 会移除逐项确认。容器能降低宿主机风险,但不能防止仓库内文件被修改,也不能防止容器内可访问凭据被使用或外传。

#缓存和成本

#官方参考

• Development containers
• Choose a sandbox environment
• Configure the sandboxed Bash tool
• Security model
• Permission modes

#相关页面