deniedMcpServers 写 URL 能拦得更全：2.1.318 连官方连接器和云会话也管到了
管理员用 deniedMcpServers 给团队划「禁区」时，最担心的是漏网之鱼：同一个服务，换个入口又连上了。CLI 2.1.318 对其中的 URL 条目做了一处调整，覆盖范围比之前宽了。
更新说明怎么写的
按更新说明，deniedMcpServers 里的 URL 条目现在会额外拦下两类东西：
- Anthropic 提供的服务器——只要它背后的上游 URL 与你写的条目匹配；
- 云会话里的连接器，以及自托管 runner 上的连接器——因为在这些场景里，会话拿到的就是连接器自己的 URL。
也就是说，只要你把某个服务的 URL 写进了拒绝列表，不管它是以你自己配置的 MCP 服务器出现，还是以官方提供的服务器、云端连接器的形态出现，只要最终指向的 URL 匹配，就会被挡住。
要拒绝某个连接器，用名称
说明里还有一句很实在的补充：否则，请按名称来拒绝连接器。换句话说：
- 你知道它的 URL，并且希望所有指向该 URL 的入口都被拦：写 URL 条目；
- 你想针对某个具体连接器：写它的名称。
两种写法各有适用面，不是谁取代谁。
升级后建议自查
- 回头看一遍现有拒绝列表：如果里面已有 URL 条目，升级后它们的作用范围会变大，可能顺带拦住以前能连上的官方服务器或云会话连接器；
- 云会话和自托管 runner 里：确认被拦的是你预期的连接器，避免误伤正在用的流程；
- 只想拦某一个连接器、又不想波及同 URL 的其他入口：改用名称条目。
小结
2.1.318 让 deniedMcpServers 的 URL 条目不再只管「自己配的服务器」，而是顺着 URL 把官方提供的服务器、云会话和自托管 runner 的连接器也一并纳入。对做合规管控的团队来说，这是个收紧缺口的改动；而按名称拒绝仍然是针对单个连接器的办法。