使用 Cursor 上传私有代码库是否会泄露数据如何配置隐私

使用 Cursor 处理私有代码库存在数据上传风险，默认模式下代码片段会发送至云端用于模型推理。开启隐私模式（Privacy Mode）可阻止明文代码持久化存储，但需手动配置白名单和关闭云同步以彻底规避泄露。

先说结论：默认配置下代码片段会上传，开启隐私模式可阻止存储，但需配合白名单限制索引范围。

快速处理思路

无需命令行，通过编辑器设置界面与配置文件即可完成加固。首先进入设置开启隐私模式，随后修改 JSON 配置限制索引路径，最后关闭云端同步功能。

Cursor 默认采用检索增强生成（RAG）机制，仅上传检索到的相关代码片段而非整个代码库。索引过程中代码会被分块上传计算嵌入向量，但明文代码在请求结束后会被销毁，仅存储嵌入向量和元数据。若未开启隐私模式，提示词和代码片段可能被用于服务改进。

第一步：启用隐私模式

启动 Cursor 编辑器，点击左下角齿轮图标进入 Settings。导航至 General > Privacy Mode，将开关切换为开启状态。重启编辑器，界面右下角应显示 Privacy Mode Active 提示。此操作阻止明文代码被持久化存储于服务端。

第二步：限制代码库索引范围

在设置中打开 JSON 配置编辑器（Settings > Advanced > Open Settings (JSON)）。添加或修改 cursor.codebase.whitelist 字段，仅允许特定路径参与索引。示例配置如下：

{
  "cursor.codebase.whitelist": ["/src/core/", "/src/utils/"]
}

保存配置并重新触发代码库索引（右键项目根目录 > Index Codebase），规避敏感模块被纳入语义检索流程。

第三步：禁用云端同步与嵌入上传

在 JSON 配置中定位 cursor.cloud.sync 字段，将其值设为 false。确认 cursor.snippet.encryption 同时为 true，确保本地临时片段加密后再参与任何本地运算。此操作彻底阻断嵌入向量及哈希值等衍生数据的上传路径。

执行一次自然语言查询，检查开发者工具 Network 标签页中是否仍有/embeddings 请求发出。若配置了本地嵌入模型，不应观察到相关网络请求。同时确认界面右下角持续显示隐私模式激活状态，且无云端同步提示。

MCP 协议风险：若使用 Model Context Protocol (MCP) 连接外部数据源，可能存在提示注入导致敏感数据回传的风险。建议谨慎配置 MCP 服务器权限，避免直接暴露数据库或内部 API。

敏感信息左移：即使开启隐私模式，本地代码仍可能包含硬编码密钥。建议配合本地安全插件（如 no-secrets）在提交前扫描 API 密钥和数据库连接字符串。

企业合规限制：部分企业因 GDPR 或内部安全政策直接封禁云端 AI 工具。在使用前需确认公司安全策略，必要时改用本地部署模型或私有化方案。

不会。开启隐私模式时 Cursor 不会存储用户提示词，代码片段也不会被发送到 Cursor 服务器用于训练。

不需要。索引过程中代码会以小块形式上传计算嵌入向量，但所有明文代码在请求结束后就会被销毁，仅存储嵌入向量和元数据。

会。关闭云端同步后可能丢失一些 Cursor 针对性提供服务和改进代码提示的能力，导致建议准确性略有下降。