2026年11月11日 12:30软件资讯00.78K
#软件资讯 Claude Code 被爆在访问网站时泄露用户的账户邮箱地址，这个问题导致部分开发者收到大量诈骗邮件。这个问题的发生原因是，部分网站要求自动化客户端提供联系信息，Claude Code 因此会将用户邮箱作为联系字段添加到 UA 里。网站可以通过检查 UA 日志检索用户的邮箱，这种情况已经持续很长时间。用户需更新到 11 月 9 日发布的 2.1.321 版，在新版本中当 Shell 命令同时包含邮箱和 UA 时，命令会被拒绝。查看全文：https://ourl.co/128295
据 Claude Code GitHub 上的讨论，很多开发者发现自己使用 Claude Code 时竟然在无意中泄露自己的邮箱地址，有开发者称在邮箱地址被泄露后自己每天收到大量诈骗邮件，开发者要求 A 社赶紧优化产品停止泄露用户的邮箱。
开发者在使用 Claude Code 进行网页搜索时，自己的邮箱被作为参数附加到 UA 字符串里，实际访问网站时网站可以通过日志看到完整的 UA 字符串内容，因此也可以从字符串里提取用户的邮箱地址。
UA 字符串是 HTTP 请求中的客户端标识字段，网站服务器可以读取并记录 UA 字符串内容。部分网站要求自动化客户端提供联系信息，Claude Code 就是按照网站要求将用户邮箱附加到 UA 里的。
Claude Code 团队成员表示，此前有用户反馈 Claude Code 在生成 @author 等作者标记时会编造姓名，因此团队将登录账户的邮箱添加到模型上下文里。
当 Claude Code 自己生成 curl 等请求命令时，有时候会将上下文中的邮箱填进 UA 字符串里作为网站要求的联系地址。不过这个做法会直接泄露用户的邮箱，Claude Code 团队称将在后续更新中把账户邮箱从提供给模型的上下文中移除。
另有开发者发现 Claude Code 生成的请求头可能同时包含项目名称和邮箱，外部网站因此能够将访问者身份与项目线索联系起来，也就是可以进行针对性的钓鱼。
Anthropic 贡献者表示，Claude Code 2.1.317 (11 月 3 日发布) 及以上版本加入了默认启用的 cc-plugin-privacy 隐私保护组件，用户可以通过 /plugins 检查其状态。
在较新的 2.1.321 (11 月 9 日发布) 更新中，A 社调整邮箱检查方式：当 Shell 命令同时包含账户邮箱和 UA 时，相关命令会被直接拒绝，避免继续泄露用户的邮箱。
建议用户升级到 Claude Code 并检查插件中的隐私组件状态，在执行访问外部网站的命令和脚本前，也可以留意请求头、URL 及请求内容是否包含个人邮箱或项目敏感信息。
