gemini-cli夜间版v0.60.0发布：移除硬编码CrUX API密钥，强化MCP OAuth与扩展加载器安全
本次更新修复了macOS沙箱临时目录隔离问题，并在chrome-devtools-mcp中移除了硬编码的Google CrUX API密钥。
Google于 2026 年 9 月 4 日发布gemini-cli夜间版v0.60.0-nightly.20260904.g87a9c71d5，主要修复安全与沙箱问题。
MCP OAuth流程强制执行RFC 9207 issuer校验
由 @jvargassanchez-dot提交的fix(core) 在MCP OAuth流程中强制执行RFC 9207 issuer identification。该改动增强了OAuth授权码流程的安全性，防止跨服务重放攻击。
本次版本还包含 @jvargassanchez-dot的另一项修复fix(cli)：在macOS Seatbelt沙箱中隔离临时目录，避免沙箱逃逸或权限提升风险。
扩展加载器加固与API密钥清理
@diegogodinezr提交的feat(extensions) 强化了扩展加载器的路径解析和边界校验，以阻止恶意扩展通过越界路径访问系统文件。
@amelidev提交的fix(core) 清理并移除了chrome-devtools-mcp中硬编码的Google CrUX API密钥。此前该密钥直接嵌入代码，可能被用户提取并滥用。