gemini-cli夜间版v0.60.0发布：移除硬编码CrUX API密钥，强化MCP OAuth与扩展加载器安全
本次更新修复了macOS沙箱临时目录隔离问题，并在chrome-devtools-mcp中移除了硬编码的Google CrUX API密钥。
AI解读：谷歌更新的gemini-cli夜间版不仅修了几个bug，还堵了两个安全口子：一是在MCP OAuth流程里强制校验RFC 9207规定的issuer，防止令牌被重放到别的服务；二是把chrome-devtools-mcp里写死的Google CrUX API密钥清掉了，免得密钥泄露被人滥用。
对普通用户来说，这次更新最直接的影响是扩展加载器更严格了——路径解析和边界校验被加固，如果你在macOS上装第三方扩展，遇到路径越界或沙箱临时目录报错的概率会降低。如果你是开发者或安全运维，建议尽快同步到v0.60.0-nightly版本，并检查现有扩展是否依赖旧的行为；但别指望性能提升，这次没有新增功能。
Google于 2026 年 9 月 4 日发布gemini-cli夜间版v0.60.0-nightly.20260904.g87a9c71d5，主要修复安全与沙箱问题。
MCP OAuth流程强制执行RFC 9207 issuer校验
由 @jvargassanchez-dot提交的fix(core) 在MCP OAuth流程中强制执行RFC 9207 issuer identification。该改动增强了OAuth授权码流程的安全性，防止跨服务重放攻击。
本次版本还包含 @jvargassanchez-dot的另一项修复fix(cli)：在macOS Seatbelt沙箱中隔离临时目录，避免沙箱逃逸或权限提升风险。
扩展加载器加固与API密钥清理
@diegogodinezr提交的feat(extensions) 强化了扩展加载器的路径解析和边界校验，以阻止恶意扩展通过越界路径访问系统文件。
@amelidev提交的fix(core) 清理并移除了chrome-devtools-mcp中硬编码的Google CrUX API密钥。此前该密钥直接嵌入代码，可能被用户提取并滥用。