agent sandbox run <cmd> [args...]

在拥有工作区读写权限的沙箱中运行单个命令。

agent sandbox run <cmd> [args...] 会隔离运行一个具体的命令,默认拥有工作区的读写权限(--sandbox,默认 true),但没有网络访问权限(--network,默认 false)。可以通过 --allow-paths 或 --readonly-paths 额外开放路径,通过 --blocked-patterns(gitignore 语法)屏蔽不想要的文件;--sb-debug 会把调试日志写入一个临时文件夹。

🎬 短视频版

在拥有工作区读写权限的沙箱中运行单个命令。

✅ 什么时候用？

在真正的工作区之前,先隔离测试一个不熟悉的安装/构建脚本

agent sandbox run npm install

在沙箱默认不允许网络的情况下,让某个命令使用网络访问

agent sandbox run --network curl https://example.com/healthz

⛔ 什么时候不该用？

需要多个命令都长期隔离运行,而不只是一个

agent sandbox run 是专为单个命令设计的。

更好的选择: 使用 agent sandbox enable,让沙箱策略应用于 CLI 之后运行的所有命令

命令需要访问工作区目录之外的内容

不加额外参数时,访问范围被限制在工作区内。

更好的选择: 用 --allow-paths 或 --readonly-paths 指定额外需要的路径

来源

Cursor 官方文档——CLI 参考:参数(Parameters) ↗ cursor.com