Gemini CLI 项目发布了 v0.49.0 版本，此次更新涵盖了核心功能增强、多项安全漏洞修复和持续集成（CI）流程的改进。该版本由自动化工具 gemini-cli-robot 于 2026 年 6 月 25 日推送，旨在提升工具的稳定性与安全性。
核心功能与安全强化
在安全层面，开发团队处理了多个潜在风险。其中，skill 安装过程中的路径遍历漏洞得到了修复，由 ompatel-aiml 提交的相关变更有效阻止了恶意路径访问。另外，零配额限制现在会快速失败，避免了因重试循环导致的系统挂起，这一改动由 luisfelipe-alt 完成。针对多行转义引号的处理问题，sanchezcoraspe 更新了 stripShellWrapper 函数，确保 shell 包装剥离的准确性。
持续集成与依赖管理优化
CI 流程方面，rmedranollamas 和 galz10 推动了多项改进。团队启用了 npm 包的冷却期机制，并强制实行 14 天的依赖更新冷却，以降低因频繁更新带来的不稳定性。夜间发布流程现在使用内部环境，并修复了 registry URL 结尾斜杠缺失导致的认证错误。针对 nightly 发布中可能出现的 ENEEDAUTH 错误，团队引入了 fallback 机制作为备用方案。
新功能与工具扩展
在功能扩展上，ved015 添加了静态评估源分析器及 eval:inventory CLI 命令，支持 JSON 格式输出，增强了评估工具的实用性。同时，Galz10 统一了工具输出格式，并将 coreTools 配置迁移至 tools.core，提升了配置管理的规范性。之前针对 at-reference 文件的路径解析修复被暂时回退，相关变更在后续迭代中需重新评估。
新贡献者加入
本次版本中，sanchezcoraspe、sidhantgoyal-droid 和 amelidev 完成了他们的首次贡献。其中，sidhantgoyal-droid 更新了认证库以支持 GDC 隔离环境的 Service Identity，而 amelidev 修复了 tmux 环境下后台检测的误报问题。这些新成员的加入为项目注入了新的活力，也体现了开源社区协作的广泛性。
