Cursor 的企业部署形态怎么选：网络、身份与终端安全三条约束

2026-08-18

给一个几十人的团队铺开 Cursor，常见的顺序是先纠结”用桌面端还是用 CLI”，等真开始装了才发现前面还堵着三堵墙：企业代理把流式响应缓冲住了、终端上的安全软件把启动拖过了超时、员工拿个人账号登进了公司电脑。这三件事在官方文档里分散在《Deployment Patterns》《Network Configuration》《Endpoint Security Configuration》《Identity and Access Management》四页。

这篇不排名、不给”推荐方案”，只把三种部署形态各自写明的边界摆出来，再给一条从你的处境倒推的决策路径。

三种形态，文档给的边界各在哪

编辑器 + MDM 分发。 官方文档写明的路径是：IT 打包 Cursor 应用，通过 MDM（文档举的例子是 Jamf、Intune 等）推到开发机，再用策略约束这台机器上的 Cursor。策略在三个平台上落地方式不同——Windows 走 Group Policy，macOS 走配置描述文件，Linux 走 JSON 策略文件（文档注明 Linux 策略文件从 2.0 版本起提供）。文档列出的 admin-controlled 策略有六项：AllowedExtensions、AllowedTeamId、ExtensionGalleryServiceUrl、NetworkDisableHttp2、UpdateMode、WorkspaceTrustEnabled，每项对应一个 Cursor 设置项，策略值会覆盖用户设备上对应的设置。

CLI。 文档定位是”在你自己的基础设施上以 headless 方式跑 Cursor agent”，落点包括本地机房、企业云、Kubernetes 集群和 CI/CD 系统。选型最关键的一句是：CLI”能访问用户从自己机器上能访问的一切”，文档点名了 VPN、内部 API、私有包仓库。

Cloud Agent。 跑在 Cursor 的基础设施上，不在你的内网里，边界写得最硬。

桌面端和 CLI 的关系，文档给了一段直接对照：两者”是同一个 agent，只是界面不同”，相同的部分包括 Privacy Mode 同等适用、hooks 都生效、相同的模型访问控制、审计日志与用量跟踪；相同的要求则是都需要访问 Cursor 服务的网络、都会把代码发给 LLM（带 Privacy Mode 的保护）、都需要相应的认证。按这个口径，两者之间不是安全控制强弱的选择，而是交互方式与运行位置的选择。

决策第一问：agent 需不需要碰只有内网能到的东西

这一问基本能定下 Cloud Agent 用不用得上。《Network Configuration》对它的可达范围给了正反两张清单：可访问的一侧包括公开的 GitHub 仓库、你授权过的 GitHub Enterprise Cloud 仓库、本地部署和云上的 GitLab、Bitbucket Cloud 仓库，以及公共包仓库（文档举了 npm、PyPI）；不可访问的一侧是企业防火墙后的资源、本地部署的 GitHub Enterprise Server、没有外网出口的私有包仓库。文档随后的建议是：工作流需要访问内部资源，就在你网络内的机器上用 Cursor 编辑器，而不是 Cloud Agent。

要提醒一处：同一页的两张清单里，“GitHub Enterprise Server（自托管的 GitHub Enterprise）“在可访问一侧，“本地部署的 GitHub Enterprise Server”在不可访问一侧。这两条的实际分界在哪，我们无法从文档判断，也不去猜——正好卡在这个场景上的话，先向官方确认，别按任一侧的字面意思做规划。

同一页另写明，Enterprise 团队可以用私有连通性让 Cloud Agent、Bugbot 或 Cursor 后端服务访问私有的源码系统与包仓库，支持的方式包括 AWS PrivateLink 和 Cloudflare Tunnel；同时明确写了目前不提供 VPC peering 与面向客户的 Google Private Service Connect。

在你自己机器上跑的编辑器与 CLI，文档写明会继承机器已有的网络配置：安全组、防火墙规则、DNS 配置、VPN 或私有网络访问。这句话有两面：内网资源天然可达，agent 能碰到的范围也就等于这台机器能碰到的范围，权限收敛得在机器和账号那一层做。

决策第二问：这些机器和账号归谁管

《Identity and Access Management》给的顺序是：先把 SSO 跑通，再开 SCIM，再下 MDM 策略，最后分配角色。SSO 一侧，文档写明支持 SAML 2.0，列举的身份提供方包括 Okta、Azure AD、Google Workspace、OneLogin，启用后可要求全员走 SSO 并完全禁用密码登录。SCIM 2.0 用于自动化人员生命周期，文档写明这项在 Enterprise 计划、且已启用 SSO 的前提下可用，这条前置条件容易被忽略。角色一侧，文档写明团队有三种角色：Members、Admins、Unpaid Admins。

真正跟”公司电脑不许登私人号”对上的是 AllowedTeamId，文档把它称为最重要的那条 MDM 策略：设置之后 Cursor 只允许认证到指定的 team ID，用不在列表里的 team ID 登录会被立即强制登出、显示错误信息，并在换成合法 team ID 之前阻止继续认证。对应设置项是 cursorAuth.allowedTeamId，取值是逗号分隔的 team ID 列表，MDM 策略会覆盖设备上的这个设置。

扩展管控有个反直觉的地方。extensions.allowed 是允许列表模型：文档写明只要你加了任何条目，就只有显式允许的条目被放行，其余全部被拦，不存在隐式的”其余全部允许”兜底。文档举的例子很直白——设成 {"anysphere": false} 不只是屏蔽 Anysphere 的扩展，而是把其它所有发布者也一起拦了。要”只拉黑几个、其余照旧”，得显式带上通配：

{
  "*": true,
  "untrusted-publisher": false
}

文档写明通配是最不具体的匹配，发布者和扩展 ID 条目会覆盖它。另有两条运维上的坑：管理后台里清空这个字段只是停止下发新值，客户端已生效的策略不会消失，要恢复成”全部允许”得先下发 {"*": true}、等客户端取到之后再清空；以及管理后台配置这项功能需要客户端 2.1 或更高版本，低版本用户不会被施加扩展限制。

MDM 还能顺手管起 Run Mode 的允许列表。文档写明权限文件路径是 ~/.cursor/permissions.json，用户可在仓库里叠一层 <workspace>/.cursor/permissions.json，两个文件的条目按拼接方式合并。三个键都是可选的：terminalAllowlist（免审批执行的终端命令，按完整命令字符串匹配）、mcpAllowlist（免审批调用的 MCP 工具，用 server:tool 语法，文档写明 MCP 工具不在本地 sandbox 内运行）、autoRun（用自然语言的 allow_instructions 与 block_instructions 引导 Auto-review 分类器，文档写明在 Cursor 3.6 及以上作用于 shell、MCP 与 Fetch 调用）。

优先级从高到低三层：团队管理后台等 admin-controlled 设置、被管理下发的 ~/.cursor/permissions.json 与仓库内文件的拼接结果、编辑器设置与内联添加。admin-controlled 设置会替换该类别下文件定义的值，编辑器设置不与前两者合并；两个 permissions.json 路径都会被监听，更新自动生效，不需要重启。

说明白一件事：允许列表决定的是”什么不再弹确认”，不是安全边界本身，这条线怎么划要结合自身环境评估。

决策第三问：装到 Windows 机器上会不会启动就废

机器上压着杀软或 EDR 的话，这一问必须在分发前过一遍。《Endpoint Security Configuration》把机制写得很清楚：Cursor 启动时要加载 JavaScript 模块并做文件 I/O，拦截文件操作或注入进程的终端安全软件会把启动拖过内部超时，导致 Agent 之类的功能失败。文档还写明进程排除和路径排除可能都需要——有些产品用内核级 minifilter 驱动，不管哪个进程在读都要扫，只加进程排除未必够。

Windows 侧列出的进程有三个：Cursor.exe、rg.exe、inno_updater.exe，每个都区分用户安装与系统安装两条路径，分别在 %LOCALAPPDATA%\Programs\cursor\ 与 %ProgramFiles%\cursor\ 之下，按你的安装类型选对应那条。路径排除列了三条：上述两个安装目录，加上存放用户数据、设置与工作区存储的 %APPDATA%\Cursor\。macOS 侧进程是 Cursor.app，路径是 /Applications/Cursor.app/。

不确定机器上跑着什么安全产品时，文档给了几条识别命令，要求在管理员权限的 PowerShell 里执行：

# Registered AV products
Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct |
  Select-Object displayName, pathToSignedProductExe

# Kernel-level filesystem filter drivers
fltmc

# Check for EDR process injection via environment variables
[System.Environment]::GetEnvironmentVariables() |
  Where-Object { $_.Keys -match "BPP|COR_PROFILER|COMPLUS|__COMPAT" }

怎么读输出：fltmc 结果里 WdFilter、storqosflt、wcifs、CldFlt、luafv、Wof、FileInfo 这类是标准 Windows 驱动可以忽略，其余多半来自第三方安全软件；环境变量那条只要有返回，就说明有 EDR 在向每个新进程注入代码，可能需要加排除。验证方式是加完排除后重启 Cursor、测试 Agent：文档写明之前若 Extension Host 日志为空（取用路径 Cmd/Ctrl+Shift+P → “Output” → “Extension Host”），此时应当能看到正常的启动输出。

文档自述这些排除项”低风险、不会削弱对用户文件与网络流量的保护”，理由是 Cursor 自身的文件是签名过的二进制与打包 JavaScript。这是文档口径，放不放行由你们的安全团队判断。

静默分发也记上，Windows 安装器基于 Inno Setup。全新安装：

CursorSetup-x64-2.0.exe /SILENT /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /CLOSEAPPLICATIONS /LOG=install.log

升级已有安装要换一组参数，必须带 /update 指向一个标志文件（文档说明这是个空文件，用于告诉安装器这是升级）：

CursorSetup-x64-2.0.exe /VERYSILENT /update="%TEMP%\cursor-update.flag" /CLOSEAPPLICATIONS /LOG=update.log

文档另注明：2.0 之前的安装器可能不正确遵守 /SILENT 类参数，2.0 及之后的版本会确保静默安装正常工作。以上命令照抄自官方文档，安装包文件名随发行版本变化，以官方文档与安装器实际输出为准。

Group Policy 那条路径：把 ADMX 与 ADML 文件从 AppData\Local\Programs\cursor\policies 复制出来，ADMX 放进 C:\Windows\PolicyDefinitions，ADML 放进 C:\Windows\PolicyDefinitions\<your-locale>\，重启本地组策略编辑器后设置策略值。策略可在计算机级和用户级同时设置，两者都设时计算机级优先；Cursor 2.1 里组策略编辑器中的类别名改成了 Cursor，旧键仍可用。

macOS 侧一条容易踩：随 Cursor 附带的示例 .mobileconfig 会初始化该版本里所有可用策略，用不到的要删掉，否则未编辑的策略会以其默认值被强制生效。

网络那一层单独要做的活

形态选定之后，代理这一关还得单独过。文档写明 Cursor 默认用 HTTP/2 双向流；部分企业代理对 HTTP/2 流式支持不正确，文档点名 Zscaler 是这类里使用最广的一个，并写明遇到问题时会自动回退到 HTTP/1.1 的 SSE 模式，这个回退就是为会缓冲或打断 HTTP/2 流的代理设计。前面提到的 NetworkDisableHttp2 策略对应设置项 cursor.general.disableHttp2，可以直接把全部请求压到 HTTP/1.1。

SSL 中间人检查是文档明说的”最常见的企业部署阻塞点”之一，症状是使用 Agent 能力时超时、变慢或报错。文档建议对 Cursor 相关域名关闭 SSL 检查（列出的包括 .cursor.sh、cursor-cdn.com、marketplace.cursorapi.com、authenticate.cursor.sh 等）；若安全策略要求对所有流量做检查，则代理必须支持 HTTP/2 双向流（或让 HTTP/1.1 回退可用）、SSE 不缓冲透传、长连接不被强制超时、对流式内容类型关闭响应缓冲。IP 允许列表方面，文档建议按 *.cursor.sh、*.cursorapi.com、*.cursorvm.com 这类域名模式放行而不是维护 IP 列表；若防火墙必须精确到子域，文档另给了逐条用途说明的清单。这些域名随服务调整会变，以官方文档最新内容为准。

判断代理有没有在缓冲，文档给了 curl 测试，先看证书：

curl -v https://api2.cursor.sh |& grep -C1 issuer:

这条用来看当前用的是哪张证书，看到代理厂商的证书就说明 SSL 检查生效了。另有两条分别测 HTTP/1.1 流与 HTTP/2 双向流的命令，判据是输出应当逐行、按秒出现，若攒到最后一次性吐出就是被缓冲了。补充一句通用做法（非官方文档内容）：这几条是 bash 语法，|& 与 echo -ne 在 PowerShell 里不能照搬，Windows 上建议在 WSL 或 Git Bash 里执行。

打算把 LLM 流量接到自建网关上的话，文档写了两点：自建网关可能带来额外延迟、限流与兼容性问题，官方转而建议用 hooks 实现自己的安全控制；以及使用自带密钥时 ZDR 政策不适用，数据处理适用你所选 AI 提供方的隐私政策。

我们不比的几件事

三种形态谁更快、谁更稳、谁生成质量更好：文档里没有可比的口径，不比。
Cloud Agent 与本地形态在权限模型上的细节差异：文档只给了桌面端与 CLI”安全控制相同”那段对照，Cloud Agent 一侧没有同粒度说明，不比。
版本生命周期的具体节奏：文档写明存在两条版本下限——最低支持版本（低于它的用户看到可关闭的升级提示）与最低允许版本（低于它的用户看到不可关闭的错误、必须升级，意味着该发行线终止）；文档同时说明版本下限的推进只是粗略经验、还取决于新版本采用情况，别当排期表用。

压缩成一条路径：先问 agent 要不要碰只有内网能到的资源——要，就落在你网络内的机器上（编辑器或 CLI），Cloud Agent 那条不可访问清单直接把它排除；再问机器归不归 IT 管——归，就先 SSO、再 SCIM、再用 AllowedTeamId 把私人账号挡在门外，扩展管控记得允许列表模型那个坑；最后在分发之前把终端安全排除项和代理缓冲各验一遍，否则 Agent 起不来时看着像产品问题，实际是这两处没过。

本文依据 Cursor 官方文档（cursor.com/docs 与 cursor.com/help）于 2026-08-18 的公开内容整理。该产品闭源，本文只复述官方文档写明的机制，不推断其内部实现； 我们没有对文中涉及的功能做过实测，因此不涉及界面外观、操作手感与运行速度的任何描述。该产品迭代频繁，文中涉及的设置项与命令随版本变动，请以官方文档最新内容为准。本文不涉及订阅价格、额度与模型清单，相关信息请以官方定价与模型说明页为准。

本文对照的是同一产品内的两种形态，依据均为上述官方文档，不对两种形态做优劣排名，选型结论只在官方文档写明的能力边界内成立。

安全与合规相关做法请结合自身环境评估，本文不构成安全方案建议。

合规与许可条款请以官方原文与你所在组织的要求为准，本文不构成法律意见。