Choisir un mode de permission

​

Modes disponibles

​

Actions qu’aucun mode n’auto-approuve

• Outils correspondant à une règle ask explicite
• Outils de connecteur que votre organisation a définis sur ask, dans les sessions où ce paramètre atteint Claude Code
• Outils qui nécessitent une interaction utilisateur : l’outil intégré AskUserQuestion et les outils MCP marqués requiresUserInteraction
• Les suppressions rm et rmdir ciblant un chemin critique, qu’aucune règle allow ou hook PreToolUse "allow" n’approuve
• Les protections de messagerie inter-sessions
• Les lectures en dehors des répertoires de travail tandis que permissions.blockReadsOutsideWorkingDirectories est activé : les commandes Bash reconnues de lecture de fichiers et tout retry non sandboxé qui nécessite une approbation pour s’exécuter en dehors du sandbox même en mode auto et mode bypassPermissions. Nécessite Claude Code v2.1.257 ou version ultérieure. Une commande que l’analyseur de shell ne peut pas tracer, comme une qui change de répertoire plus d’une fois ou exécute un sous-shell, demande de la même manière même quand elle ne nomme aucun chemin extérieur. Cette invite ne s’applique pas quand la commande s’exécute dans le sandbox et le sandbox applique le bloc.

​

Configurations courantes

​

Quel mode une session démarre

1. Le drapeau --permission-mode, ou --dangerously-skip-permissions
2. permissions.defaultMode dans un fichier de paramètres Si vous définissez "auto" dans .claude/settings.json ou .claude/settings.local.json, la valeur ne prend pas effet, et Claude Code utilise alors la valeur par défaut intégrée plutôt qu’un defaultMode de ~/.claude/settings.json. Si vous définissez "bypassPermissions" dans ces deux fichiers, cela ne prend pas effet non plus, et la session démarre en mode Manuel. Les autres valeurs s’appliquent à partir de n’importe quel fichier de paramètres.
3. La valeur par défaut intégrée

• Dans un terminal, une fois, en haut de la session
• Dans l’extension VS Code, sous forme de carte sur l’écran de nouvelle conversation qui reste jusqu’à ce que vous la fermiez

​

Démarrer dans un mode de permission différent

{
  "permissions": {
    "defaultMode": "default"
  }
}

​

Basculer les modes de permission

claude --permission-mode plan

claude remote-control --permission-mode acceptEdits

​

Auto-approuver les modifications de fichiers avec le mode acceptEdits

claude --permission-mode acceptEdits

​

Analysez avant de modifier avec le mode plan

claude --permission-mode plan

​

Examinez et approuvez un plan

• Oui, et utiliser le mode auto : approuver et démarrer en mode auto. Si le mode auto n’est pas disponible pour votre session, par exemple parce que votre organisation l’a désactivé, cette option lit Oui, auto-accepter les modifications. Si vous avez démarré la session avec les permissions de contournement activées, l’option lit Oui, et basculer vers BYPASS PERMISSIONS (aucune invite supplémentaire) pour cette session à la place.
• Oui, approuver manuellement les modifications : approuver et examiner chaque modification individuellement.
• Non, continuer la planification : rester en mode plan et dire à Claude ce qu’il faut modifier.

​

Définissez le mode plan comme valeur par défaut

​

Éliminer les invites de permission avec le mode auto

• Plan : Tous les plans.
• Organisation : sur Team et Enterprise, le mode auto est disponible par défaut. Les administrateurs peuvent le désactiver pour l’organisation en définissant permissions.disableAutoMode sur "disable" dans les paramètres gérés.
• Modèle : sur l’API Anthropic et Claude Platform sur AWS, Claude Opus 4.6 ou ultérieur, Sonnet 4.6 ou ultérieur, ou un modèle Fable. Sur Amazon Bedrock, la plateforme Agent de Google Cloud, Microsoft Foundry et les sessions de passerelle d’applications Claude connectées, uniquement Claude Sonnet 5, Opus 4.7 ou ultérieur, et les modèles Fable. Les modèles plus anciens, y compris Sonnet 4.5, Opus 4.5, Haiku et les modèles claude-3, ne sont pas pris en charge sur aucun fournisseur.
• Fournisseur : disponible par défaut sur l’API Anthropic, Claude Platform sur AWS, Amazon Bedrock, la plateforme Agent de Google Cloud, Microsoft Foundry et les sessions de passerelle d’applications Claude connectées.

​

Mode auto sur Bedrock, Agent Platform ou Foundry

​

Examen du classificateur côté serveur

• Une connexion directe à l’API Anthropic : dans une session de terminal interactive, sur tous les plans claude.ai et sur les comptes qui utilisent l’API Claude, à mesure qu’Anthropic le déploie. Nécessite Claude Code v2.1.271 ou ultérieur sur les plans Pro, Max et Team, et v2.1.278 ou ultérieur sur les plans Enterprise et les comptes API Claude. À partir de v2.1.282, une session qui ne récupère pas les drapeaux de fonctionnalité, par exemple parce que vous avez désactivé la télémétrie, demande au serveur par défaut dans n’importe quel type de session.
• Un fournisseur cloud, ou une passerelle LLM ou un proxy : sur Claude Platform sur AWS, Amazon Bedrock, la plateforme Agent de Google Cloud et Microsoft Foundry, et chaque fois que vous pointez ANTHROPIC_BASE_URL vers une passerelle LLM ou un proxy, quel que soit votre plan. Demander au serveur par défaut nécessite Claude Code v2.1.278 ou ultérieur.
• Une session de passerelle d’applications Claude connectée : nécessite Claude Code v2.1.280 ou ultérieur

• Le serveur n’examine pas la session : une réponse se termine sans résultats d’examen, ou le serveur répond qu’il n’examine pas cette session. Les causes les plus courantes sont une passerelle LLM ou un proxy qui supprime la demande d’examen ou les résultats, et une plateforme, une région ou des credentials qui n’ont pas encore de vérifications côté serveur. Claude Code revient à ses propres demandes de classificateur. Une fois que ce retour se maintient pour le reste de la session, il affiche un avis sur les frais de demande de classificateur sur les comptes où ces demandes sont facturées.
• Le serveur ne donne pas de verdict pour une action : Claude Code refuse l’action plutôt que de l’exécuter sans examen. Sur n’importe quelle connexion, cela se produit lorsque la réponse se termine avant l’arrivée des résultats d’examen ou que les résultats arrivent sous une forme que Claude Code ne peut pas lire. Une passerelle LLM ou un proxy qui raccourcit les réponses ou réécrit les résultats peut causer l’un ou l’autre. Sur une connexion directe à l’API Anthropic, cela se produit également lorsque la vérification du serveur échoue pour l’action, par exemple en dépassant le délai d’attente. Le serveur n’a retourné aucun verdict de sécurité couvre le message de refus, ce qui se passe lorsque les refus se répètent, et ce qu’il faut faire.

​

Ce que le classificateur bloque par défaut

• Téléchargement et exécution de code, comme curl | bash
• Envoi de données sensibles à des points de terminaison externes
• Déploiements et migrations de production
• Suppression en masse sur le stockage cloud
• Octroi de permissions IAM ou de dépôt
• Modification d’une infrastructure partagée
• Destruction irréversible de fichiers qui existaient avant la session
• Forcer la poussée
• Valider ou pousser une modification qui enverrait des secrets ou des données sensibles en dehors du dépôt lors de son exécution, ou élargir ce qu’un déploiement expose. Cela couvre un flux de travail CI ou une configuration de déploiement qui transmet un secret à une destination qui ne le reçoit pas déjà, un script ou une étape de configuration qui lit un magasin de secrets et envoie les données, et une modification de configuration qui élargit ce qu’un déploiement publie, comme un registre, une visibilité, un artefact ou un paramètre de sourcemap. La vérification s’applique sur n’importe quelle branche, s’applique même lorsque le dépôt est public, et se déclenche lorsque la modification est validée ou poussée, que ce commit ou cette poussée déclenche ou non le pipeline ; la clarifier nécessite de nommer l’effet d’exécution, pas seulement le commit ou la poussée. Avant v2.1.211, cette vérification était limitée à la branche par défaut à la place : une poussée là-bas était bloquée lorsqu’elle contenait du contenu sensible, des modifications dissimulées ou mal décrites par rapport à ce que vous avez demandé, du contenu porté de l’extérieur du dépôt, ou contourné autour d’une révision que vous avez demandée
• git reset --hard, git checkout -- ., git restore ., git clean -fd, git stash drop ou git stash clear, que le classificateur présume éliminerait les modifications non validées
• git commit --amend lorsque le commit à HEAD n’a pas été créé dans cette session
• À partir de v2.1.198, git commit --amend lorsque le commit à HEAD a déjà été poussé. Une reformulation de message uniquement n’est pas bloquée : --amend -m sans rien de nouvellement préparé, sur un commit que Claude a créé pendant cette session
• terraform destroy, pulumi destroy, cdk destroy ou terragrunt destroy, et l’application d’un plan qui détruit des ressources

• Écriture dans un gestionnaire de secrets, ou modification des enregistrements DNS ou des certificats TLS
• Fusion d’une demande de tirage qu’aucun humain n’a approuvée, approbation de la propre demande de tirage de Claude, ou désactivation des vérifications CI
• Publication d’un commentaire qui est lui-même une commande pour l’automatisation, comme atlantis apply ou un /deploy ou /merge de bot
• Basculement, augmentation ou suppression d’un drapeau de fonctionnalité de production
• Application de modifications d’infrastructure à une portée IaC protégée, ou vidage et suppression de nœuds de cluster
• Écritures dans un cluster de calcul partagé qui vont au-delà de la ressource que vous avez nommée, comme un sélecteur d’étiquette ou --all qui capture les travaux d’autres utilisateurs
• Création de ressources Kubernetes qui s’exécutent sur chaque nœud ou interceptent le trafic du cluster, comme les DaemonSets et les webhooks d’admission
• Shells interactifs ou port-forwards vers une cible de télécommande sensible
• Ouverture d’un tunnel ou d’un shell inverse qui rend un service local accessible depuis l’Internet public
• Impression d’une credential ou d’un token en direct dans la transcription ou un fichier
• Accès à un emplacement répertorié comme emplacement de données sensibles dans votre environnement, ou copie de données en dehors d’un. À partir de v2.1.198, cela bloque également l’envoi de données d’un à un public que l’entrée exclut
• Routage d’une installation de package autour de votre registre de package interne vers un registre public. À partir de v2.1.198, cela s’applique également lorsque vous avez dit à Claude qu’un registre interne ou un miroir existe dans la conversation, pas seulement lorsqu’un est répertorié dans votre environnement
• Exécution d’une commande avec un drapeau qui désarme une garde de sécurité, comme --insecure
• Lancement d’une boucle d’agent autonome qui s’exécute sans approbation humaine ou sandbox, comme une lancée avec --dangerously-skip-permissions ou --no-sandbox. À partir de v2.1.198, cela couvre également l’exécution d’un agent tiers ou d’un harnais d’évaluation avec isolation et approbation par action désactivées, comme un lanceur démarré avec --yes-always
• Actions du navigateur Claude dans Chrome qui pourraient envoyer le contenu de la page, les cookies ou les credentials hors origine

• Suppression de fichiers dans /tmp, $TMPDIR ou un autre répertoire de travail partagé ou de cache par caractère générique, glob ou filtre d’âge plutôt que par un chemin nommé spécifique
• Inclusion de détails sensibles dans le contenu envoyé, téléchargé, publié ou écrit à d’autres personnes ou systèmes partagés, lorsque votre propre message n’a pas autorisé ces détails pour ce destinataire. Les corps de PR et de problème, les messages de commit et les commentaires comptent comme ce type de contenu sortant lorsque le dépôt est en dehors de la limite de confiance ou public, y compris les dépôts publics de votre propre organisation ; les chemins de fichiers internes, les noms de code, les données de réponse API en direct comme les e-mails ou les identifiants de compte, et les identifiants d’infrastructure comptent comme des détails sensibles. La portée PR, problème et message de commit nécessite Claude Code v2.1.200 ou ultérieur. Les données personnelles en direct d’une réponse API dans un corps de PR ou de problème, comme une adresse e-mail, un identifiant de compte ou d’organisation, ou une métrique d’utilisation, vous obligent à nommer ces détails et le destinataire indépendamment de la visibilité ou de la limite de confiance du dépôt. Cette vérification nécessite Claude Code v2.1.203 ou ultérieur
• Envoi de frappes à la propre pane tmux de Claude Code pour piloter sa propre interface, que le classificateur traite comme Claude changeant ses propres permissions ou surveillance

• Commentaire, suppression ou passage en force d’un test ou d’une assertion qui protège le comportement de sécurité, comme l’authentification, le contrôle d’accès, la validation des entrées ou le sandboxing
• Suppression ou démantèlement d’une ressource avec état que Claude n’a pas créée dans la session, lorsqu’aucune règle de suppression plus spécifique ne s’applique et que vous n’avez pas nommé cette ressource
• Réorientation d’une URL de base API, d’un point de terminaison proxy, d’un récepteur webhook ou d’un miroir de registre vers un hôte tiers qui ne correspond pas à la tâche, y compris dans les fichiers d’exemple comme .env.example
• Modification de la destination des poussées avec git remote set-url ou git remote add, sauf si vous avez nommé la nouvelle télécommande
• Poussée de secrets ou de données personnelles ou confiées vers un dépôt connu pour être public, ou poussée de matériel confidentiel là-bas qui ne fait pas partie du travail propre de ce dépôt. Le sujet propre d’un dépôt de dotfiles est la seule exception pour les données personnelles ou confiées, et le contenu d’un dépôt privé atteignant n’importe quelle surface publique est bloqué de la même manière ; les deux raffinements nécessitent Claude Code v2.1.203 ou ultérieur. Avant v2.1.203, les données personnelles étaient regroupées avec le matériel confidentiel et bloquées uniquement lorsqu’elles ne faisaient pas partie du travail propre de ce dépôt. Lorsque la visibilité d’un dépôt n’est pas établie, le classificateur ne bloque pas sur cela seul ; il juge le contenu par rapport aux autres règles à la place
• Ouverture d’une demande de tirage contre un dépôt ou une organisation différente, bifurcation avec gh repo fork ou poussée vers un dépôt tiers, sauf si vous avez nommé cette cible externe

• Contenu d’un magasin local sensible, ou d’un fichier dont le nom, le chemin ou le type le marque comme sensible, entrant dans un commit, une poussée, un texte de PR ou de problème, une gist ou un collage, ou une publication de package, sauf si vous avez nommé à la fois la source et la destination. Les transcriptions de session et les journaux de conversation, les dossiers de configuration et de credential pointant comme les clés SSH, les credentials cloud, les profils de navigateur et l’historique du shell, et les exports de données utilisateur comptent tous, et le dépôt étant privé ne le clarifie pas

• Écriture dans les transcriptions de session Claude Code, les fichiers d’historique .jsonl sous ~/.claude/projects/ ou votre répertoire de configuration configuré, directement ou via une commande shell. La règle couvre également les lignes de métadonnées que Claude Code ajoute à chaque entrée de transcription pour ses propres vérifications. La lecture d’une transcription n’est pas bloquée
• Une suppression forcée récursive comme rm -rf "$VAR" ou Remove-Item -Recurse -Force $dir dont la cible est une variable shell, ou un glob enraciné à une, qui n’est assignée nulle part dans la conversation que le classificateur voit. La valeur provenait uniquement de la sortie de commande antérieure, que le classificateur ne reçoit jamais, donc le classificateur ne peut pas vérifier la cible de suppression par rapport aux autres règles de suppression. Le bloc s’efface lorsque vous nommez le chemin exact en cours de suppression, ou lorsque Claude réexécute la suppression avec le chemin littéral résolu écrit dans la commande. Les suppressions dont la cible le classificateur peut résoudre ne sont pas affectées. Les cibles Remove-Item qui sont un * nu ou se terminent par /* ou \* n’atteignent jamais le classificateur : Claude Code les refuse directement

• Demande de credentials à partir du point de terminaison de métadonnées d’instance cloud, comme 169.254.169.254, ou authentification explicite d’un appel cloud, cluster ou registre avec l’identité de compte de service ou de nœud de la machine
• Atteinte d’un hôte public par une route autre qu’une demande directe, comme un tunnel, un shell inverse, ou une configuration de résolveur ou de proxy réécrite pour pointer vers l’extérieur
• Lecture de credentials qui appartiennent à l’hôte plutôt qu’à votre tâche, comme les certificats de nœud ou l’authentification du registre de conteneurs du nœud
• Connexion à ou analyse de conteneurs, pods ou VMs frères que Claude n’a pas démarrés, ou le nœud sous le conteneur

• Publication ou écriture d’un lien vers un service public de collage, de diagramme ou de partage de données dans un message, un texte de PR ou de problème, un document, ou n’importe où ailleurs où le lien sera ouvert ou récupéré, lorsque l’URL elle-même porte le contenu partagé, sauf si vous avez nommé ce service

• Opérations de fichiers locaux dans votre répertoire de travail
• Installation de dépendances déclarées dans vos fichiers de verrouillage ou manifestes
• Lecture de .env et envoi de credentials à leur API correspondante
• Demandes HTTP en lecture seule
• Poussée vers n’importe quelle branche du dépôt sur lequel vous travaillez, y compris la branche par défaut. Une branche non par défaut dont le nom la marque comme cible de déploiement ou de publication, comme production ou gh-pages, n’est pas couverte : le classificateur juge une poussée là-bas selon ses propres termes. Le contenu de la poussée est toujours vérifié par rapport aux autres règles, les règles permissions.deny peuvent toujours bloquer les commandes de poussée telles qu’écrites dans chaque mode, et la protection de branche propre de la télécommande s’applique toujours. Avant v2.1.211, seules les poussées vers la branche sur laquelle vous avez commencé, les branches que Claude a créées, et les poussées routinières vers la branche par défaut étaient autorisées par défaut, et avant v2.1.203 toute poussée directe vers la branche par défaut était bloquée

• Suppression des travaux exacts que Claude a créés plus tôt dans la même session
• Lecture, examen ou écriture de code, configs et modèles de menace liés à la sécurité dans le cadre de votre tâche
• Messages entre agents travaillant ensemble dans la même session multi-agent
• Envoi de données aux domaines approuvés, buckets et services que vous répertoriez dans environment. Cela couvre le flux de données uniquement, pas les opérations destructrices ou de credential sur la même infrastructure
• Claude dans Chrome navigation vers un domaine interne approuvé, localhost, ou une URL que vous avez nommée

​

La première lecture en dehors des répertoires de travail

• Continuer à autoriser : la lecture s’exécute, les lectures ultérieures en dehors des répertoires de travail s’exécutent comme avant, et Claude Code enregistre votre réponse pour que l’invite n’apparaisse plus
• Bloquer à partir de maintenant : la lecture est refusée, et Claude Code définit permissions.blockReadsOutsideWorkingDirectories sur true dans vos paramètres utilisateur, ce qui fait que les outils de fichier refusent ces lectures dans chaque session ultérieure et chaque mode de permission. Pour laisser Claude lire ce chemin plus tard, ajoutez son répertoire avec /add-dir ou supprimez le paramètre.
• Demander à nouveau la prochaine fois : la lecture est refusée, et la prochaine lecture en dehors des répertoires de travail invite à nouveau

​

Limites que vous énoncez dans la conversation

​

Approbations que vous énoncez dans la conversation

• Nommez l’action et ses spécificités : votre message doit nommer l’action et la chose spécifique qui la rend dangereuse, comme la branche d’une poussée forcée. Nommer le verbe seul ne clarifie rien, donc « vous pouvez forcer la poussée » laisse le bloc en place.
• Attendez-vous à ce qu’il couvre une action : une approbation couvre l’action destructrice que vous avez nommée, donc une action ultérieure est bloquée à nouveau sauf si vous avez accordé l’approbation comme permanente. Pour arrêter d’approuver un modèle routinier une action à la fois, ajoutez-le à autoMode.allow.
• Certains blocs restent en place : l’ordre de précédence du classificateur énonce quels blocs votre approbation peut atteindre. Pour exécuter une étape qu’il ne clarifiera pas, quittez le mode auto et répondez à l’invite de permission.

​

Quand le mode auto revient en arrière

• Une action bloquée : Claude Code affiche une notification et répertorie l’action dans /permissions sous l’onglet Recently denied, où vous pouvez appuyer sur r pour la réessayer avec une approbation manuelle. Lorsque le classificateur produit aucun verdict sur l’action, parce qu’une vérification de sécurité distincte du mode auto a refusé la propre demande du classificateur ou sa réponse n’a pas été analysée, Claude Code refuse l’action sans la notification ou l’entrée Recently denied.
• Blocages répétés : si le classificateur bloque une action 3 fois de suite ou 20 fois au total, le mode auto s’interrompt et Claude Code reprend l’invite. L’approbation de l’action invitée reprend le mode auto. Ces seuils ne sont pas configurables. Toute action autorisée réinitialise le compteur consécutif, tandis que le compteur total persiste pour la session et se réinitialise uniquement lorsque sa propre limite déclenche un retour. Claude Code ne compte pas un refus vers l’un ou l’autre seuil lorsqu’une vérification de sécurité distincte du mode auto refuse la propre demande du classificateur ; l’entrée liée couvre comment Claude Code gère ces refus.
• Sessions qui ne peuvent pas inviter : une exécution -p non interactive sans --permission-prompt-tool n’a pas d’invite pour revenir. Lorsque les blocages répétés atteignent un seuil, l’action ne s’exécute pas et Claude continue à travailler. La même chose s’applique lorsqu’une vérification de sécurité distincte du mode auto refuse la demande du classificateur. Claude Code n’arrête pas l’exécution dans l’un ou l’autre cas.
• Aucun verdict du serveur : sous examen du classificateur côté serveur, Claude Code refuse une action pour laquelle le serveur ne donne pas de verdict, et arrête le tour après dix réponses de suite sans verdict. Voir Le serveur n’a retourné aucun verdict de sécurité.
• Un changement de mode pendant une vérification : si vous changez les modes de permission tandis qu’une vérification de classificateur est en attente, Claude Code rejette un verdict que le nouveau mode n’aurait pas demandé plutôt que de l’appliquer : vous êtes invité à l’approbation à la place, ou l’action est auto-refusée en mode dontAsk.

​

Autoriser uniquement les outils pré-approuvés avec le mode dontAsk

claude --permission-mode dontAsk

​

Ignorer tous les contrôles avec le mode bypassPermissions

• L’invite d’approbation isolatePeerMachines pour les messages vers vos sessions au-delà de cette machine apparaît toujours.
• Quand aucune valeur crossSessionInbound ne s’applique, Claude Code retient un message entrant d’une autre de vos sessions pour votre approbation, et le livre sans demander uniquement quand la session d’envoi s’identifie comme contournant également les invites de permission. Si vous quittez le mode de permission tandis que les messages sont retenus, Claude Code réapplique les règles entrantes et livre tout message retenu qu’elles acceptent maintenant.

claude --permission-mode bypassPermissions

--dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons

​

Chemins protégés

• .git
• .config/git
• .vscode
• .idea
• .husky
• .cargo
• .devcontainer
• .yarn
• .mvn
• .claude, sauf pour .claude/worktrees où Claude stocke ses propres git worktrees

• .gitconfig, .gitmodules
• .bashrc, .bash_profile, .bash_login, .bash_aliases, .bash_logout, .zshrc, .zprofile, .zshenv, .zlogin, .zlogout, .profile, .envrc
• .npmrc, .yarnrc, .yarnrc.yml, .pnp.cjs, .pnp.loader.mjs, .pnpmfile.cjs, bunfig.toml, .bunfig.toml
• .bazelrc, .bazelversion, .bazeliskrc
• .pre-commit-config.yaml, lefthook.yml, lefthook.yaml, .lefthook.yml, .lefthook.yaml
• gradle-wrapper.properties, maven-wrapper.properties
• .devcontainer.json
• .ripgreprc, pyrightconfig.json
• .mcp.json, .claude.json

​

Chemins critiques

• La racine du système de fichiers
• Les répertoires de niveau supérieur, ce qui signifie tout enfant direct de la racine, comme /usr, /etc, ou /data
• Votre répertoire personnel
• Les racines des lecteurs Windows et leurs répertoires de niveau supérieur, comme C:\ et C:\Windows
• Votre répertoire de travail et ses parents
• Vos répertoires de travail supplémentaires et leurs parents, mais uniquement quand la suppression est un glob sous l’un d’eux, comme rm -rf <dir>/*. rm -rf <dir> sur le répertoire lui-même ne déclenche pas cette vérification

• Pour une variable comme $DIR, protégez chaque expansion pour que le shell s’arrête avec une erreur quand la variable n’est pas définie ou vide, comme dans rm -rf "${DIR:?}"/*, ou utilisez un chemin littéral
• Pour une variable qui est normalement définie, comme $HOME, utilisez un chemin littéral

​

Remove-Item dans PowerShell

• Chemins système : la racine du système de fichiers et ses répertoires de niveau supérieur, les racines des lecteurs et leurs répertoires de niveau supérieur, et votre répertoire personnel. Claude Code refuse la commande dans tous les modes, sans vous demander.
• Wildcards : un * nu, ou n’importe quelle cible se terminant par /* ou \*, y compris un glob sous une variable shell comme $dir/*. Claude Code refuse la commande dans tous les modes, sans vous demander, avant que le classificateur ne la voie.
• Votre répertoire de travail ou l’un de ses parents, avec -Recurse : Claude Code traite la commande comme n’importe quelle autre qui nécessite une approbation dans votre mode de permission, donc elle vous demande dans les modes qui demandent, l’envoie au classificateur en mode auto, et la refuse en mode dontAsk. Le mode bypassPermissions saute cette vérification.

​

Voir aussi

• Permissions : règles allow, ask et deny ; politiques gérées
• Configurer le mode auto : indiquez au classificateur l’infrastructure de confiance de votre organisation
• Hooks : logique de permission personnalisée via les hooks PreToolUse et PermissionRequest
• Sécurité : protections et bonnes pratiques
• Sandboxing : isolation du système de fichiers et du réseau pour les commandes Bash
• Mode non-interactif : exécutez Claude Code avec le flag -p