我今天重新翻 Claude Code 的本地目录文档时，最容易被忽略的一句话反而最刺眼，transcripts 和 history 并不会在本机静态加密，能保护它们的主要就是操作系统文件权限。Claude Code 官方文档把风险说得很直接，如果某个 tool 读取了.env文件，或者某条命令把 credential 打印出来，这个值会被写进projects/project/session.jsonl这类会话记录里。这里没有什么玄学，也不是模型记忆突然变危险，而是一个很朴素的工程事实，凡是被读进上下文、被命令输出、被工具返回的内容，都有机会进入会话转录文件。这个设计并不奇怪。Claude Code 是一个 agentic coding 工具，它要支持/resume、跨会话上下文、调试复盘、历史提示召回和项目级状态恢复。没有持久化，很多体验都会断掉。问题在于，开发者日常工作里最敏感的东西也常常离代码最近，.env、数据库连接串、云厂商 access key、GitHub token、npm token、SAP 系统连接参数、OAuth client secret、临时 bearer token，都可能出现在同一台开发机、同一个 repository、同一个终端窗口里。Claude Code 的会话文件如果按明文保存，就从一个便利功能变成了一个需要纳入安全边界的本地资产。很多人谈 Claude Code 安全时，会把注意力放在模型会不会乱改代码、会不会执行危险 shell 命令、会不会被 prompt injection 带偏。那些当然重要，但 plaintext storage 这件事更接近