Выберите режим разрешений

Доступные режимы

Действия, которые ни один режим не одобряет автоматически

• Инструменты, соответствующие явному правилу запроса
• Инструменты соединителя, которые ваша организация установила на ask, в сеансах, где эта настройка достигает Claude Code
• Инструменты, требующие взаимодействия с пользователем: встроенный инструмент AskUserQuestion и MCP инструменты, отмеченные requiresUserInteraction
• Распознанные удаления rm и rmdir по критическим путям, которые не одобряет ни одно правило разрешения или хук PreToolUse с "allow", а также команды Bash, помеченные Dangerous rm operation not ruled out
• Защита от кросс-сеансового обмена сообщениями
• Чтение вне рабочих директорий, пока permissions.blockReadsOutsideWorkingDirectories включено: распознанные команды Bash для чтения файлов и любой неизолированный повтор, который требует одобрения для запуска вне песочницы, запрашивают даже в режиме auto и режиме bypassPermissions. Требует Claude Code v2.1.257 или более поздней версии. Команда, которую парсер оболочки не может отследить, такая как команда, которая меняет директорию более одного раза или запускает подоболочку, запрашивает то же самое, даже если она не называет никакой внешний путь. Этот запрос не применяется, когда команда выполняется в песочнице и песочница обеспечивает блокировку.
• Запись вне рабочих каталогов, пока permissions.blockWritesOutsideWorkingDirectories включено: Claude Code отклоняет там вызовы Write, Edit и NotebookEdit, за исключением некоторых собственных файлов. Этот ключ не ограничивает shell-команды, инструменты MCP или программы, которые запускают хуки, поэтому используйте изоляцию в песочнице, чтобы ограничить, куда записывают shell-команды. Требует Claude Code v2.1.314 или более поздней версии.

Распространённые конфигурации

В каком режиме начинается сессия

1. Флаг --permission-mode или --dangerously-skip-permissions
2. permissions.defaultMode в файле настроек Если вы установите "auto" в .claude/settings.json или .claude/settings.local.json, значение не вступает в силу, и Claude Code затем использует встроенное значение по умолчанию вместо defaultMode из ~/.claude/settings.json. Если вы установите "bypassPermissions" в этих двух файлах, это также не вступает в силу, и сессия начинается в режиме Manual. Другие значения применяются из любого файла настроек.
3. Встроенное значение по умолчанию

• В терминале — один раз, в верхней части сессии
• В расширении VS Code — в виде карточки на экране нового диалога, которая остаётся, пока вы её не закроете

Вызовы инструментов отклоняются в запусках claude -p и Agent SDK

• Добавьте правила разрешения: Claude выполняет перечисленные вами вызовы. Передайте --allowedTools "Bash(npm test)" в claude -p или задайте параметр разрешённых инструментов вашего SDK.
• Запускайтесь в авторежиме: модель-классификатор проверяет вызовы, поэтому вам не нужно ничего перечислять заранее. Передайте --permission-mode auto в claude -p или задайте параметр режима разрешений вашего SDK.

claude -p "Run the test suite and fix any failures" --permission-mode auto

const options = {
  permissionMode: "auto"
};

from claude_agent_sdk import ClaudeAgentOptions

options = ClaudeAgentOptions(permission_mode="auto")

Запуск в другом режиме разрешений

{
  "permissions": {
    "defaultMode": "default"
  }
}

Режимы разрешений с конфигурацией HIPAA

• Переключиться на авторежим: нажмите Shift+Tab или используйте элемент управления вашего интерфейса
• Запускаться в авторежиме: передайте --permission-mode auto или задайте permissions.defaultMode в значение auto в пользовательских настройках либо в управляемых настройках для всей организации. См. Запуск в другом режиме разрешений
• Убрать авторежим: установите permissions.disableAutoMode в значение "disable" в управляемых настройках
• Заблокировать bypassPermissions: установите permissions.disableBypassPermissionsMode в значение "disable" в управляемых настройках

Переключение режимов разрешений

claude --permission-mode plan

claude remote-control --permission-mode acceptEdits

Автоматическое одобрение редактирования файлов с режимом acceptEdits

• Пути вне этой области действия
• Записи в защищённые пути
• Распознанные удаления rm и rmdir, нацеленные на критические пути
• touch с чем-либо помимо простых путей к файлам, например с опцией, glob-шаблоном или префиксом, таким как timeout 5 или LANG=C
• Все остальные команды Bash, кроме встроенного набора только для чтения

claude --permission-mode acceptEdits

Анализ перед редактированием в режиме планирования

• Интерактивные сессии в терминале с доступным обходом разрешений: к командам планирования не применяются ни классификатор, ни запрос разрешения. В разделе Пропуск всех проверок с режимом bypassPermissions описаны немногие случаи, когда запрос там всё же появляется.
• Авторежим доступен и настройка useAutoModeDuringPlan включена, что задано по умолчанию: классификатор проверяет shell-команды, кроме удалений критических путей, вместо того чтобы запрашивать у вас разрешение. Одобренные команды выполняются, а отклонённые блокируются.
• Авторежим недоступен или useAutoModeDuringPlan выключена: команды вне встроенного набора команд только для чтения запрашивают подтверждение, в том числе когда включён режим автоматического разрешения песочницы.

claude --permission-mode plan

Просмотр и утверждение плана

• Yes, and use auto mode: утвердить план и начать работу в авторежиме. Если авторежим недоступен в вашей сессии, например потому что ваша организация его отключила, этот вариант называется Yes, auto-accept edits. Если вы запустили сессию с включённым обходом разрешений, вариант вместо этого называется Yes, and switch to BYPASS PERMISSIONS (no further prompts) for this session.
• Yes, manually approve edits: утвердить план и проверять каждое изменение по отдельности.
• No, keep planning: остаться в режиме планирования и сообщить Claude, что изменить.

Установка режима планирования по умолчанию

Исключите запросы разрешений с помощью авторежима

• План: все планы.
• Организация: на Team и Enterprise авторежим доступен по умолчанию. Администраторы могут отключить его для организации, установив permissions.disableAutoMode в значение "disable" в управляемых настройках.
• Провайдер и модель: доступен по умолчанию у следующих провайдеров со следующими моделями:
  • Anthropic API, Claude Platform on AWS и Claude Models on Google Cloud (Anthropic managed): Claude Opus 4.6 или новее, Sonnet 4.6 или новее, Haiku 5.5 либо модель Fable
  • Amazon Bedrock, Google Cloud’s Agent Platform, Microsoft Foundry и сессии Claude apps gateway с выполненным входом: только Claude Sonnet 5 или новее, Opus 4.7 или новее, Haiku 5.5 и модели Fable
  Более старые модели, включая Sonnet 4.5, Opus 4.5, Haiku 4.5 и модели claude-3, не поддерживаются ни у одного провайдера.

Авторежим в Bedrock, Agent Platform или Foundry

• Интерактивные сессии в терминале и VS Code: чтобы запускать их в режиме разрешений, отличном от авторежима, установите permissions.defaultMode, как описано в разделе Запуск в другом режиме разрешений, или выберите режим в индикаторе режима расширения VS Code. В разделе В каком режиме запускается сессия перечислены версии Claude Code, которые запускают их в авторежиме.
• Запуски claude -p и Agent SDK: чтобы запустить их в авторежиме, передайте --permission-mode auto в claude -p либо передайте permissionMode: "auto" в TypeScript или permission_mode="auto" в Python. Если вы не передаёте режим разрешений, см. раздел Вызовы инструментов отклоняются в запусках claude -p и Agent SDK, где также описаны более ранние версии Claude Code.

Проверка классификатором на стороне сервера

• Прямое подключение к Anthropic API: в интерактивных сессиях в терминале, а также в сессиях -p, Agent SDK, расширения VS Code и десктопного приложения, независимо от вашего плана или типа учётной записи, по мере развёртывания функции Anthropic. Сверьте тип своей сессии со следующими минимальными версиями Claude Code:
  • В интерактивных сессиях в терминале запрос к серверу требует Claude Code v2.1.271 или новее на планах Pro, Max, Ultra и Team. На планах Enterprise и в учётных записях Claude API такие сессии требуют v2.1.278 или новее.
  • В сессиях -p и расширения VS Code запрос к серверу требует Claude Code v2.1.278 или новее
  • В сессиях Agent SDK и десктопного приложения запрос к серверу требует Claude Code v2.1.281 или новее
  • Начиная с v2.1.282 сессия, которая не получает флаги функций, например потому что вы отключили телеметрию, по умолчанию запрашивает сервер в сессии любого типа
• Облачный провайдер либо LLM-шлюз или прокси: в Claude Platform on AWS, Amazon Bedrock, Google Cloud’s Agent Platform и Microsoft Foundry, а также всякий раз, когда вы направляете ANTHROPIC_BASE_URL на LLM-шлюз или прокси, независимо от вашего плана. Запрос к серверу по умолчанию требует Claude Code v2.1.278 или новее.
• Сессия Claude apps gateway с выполненным входом: требуется Claude Code v2.1.280 или новее
• Облачная сессия в среде, размещённой Anthropic: независимо от вашего плана, когда вы запускаете её из веба, мобильного приложения или десктопного приложения с выбранным вариантом Cloud. Сессии, запущенные облачной запланированной задачей, запрашивают сервер по мере развёртывания функции Anthropic.

• Сервер не проверяет сессию: ответ завершается без результатов проверки, или сервер отвечает, что не проверяет эту сессию. Наиболее частые причины — LLM-шлюз или прокси, который отбрасывает запрос на проверку или её результаты, а также платформа, регион или учётные данные, для которых проверки на стороне сервера ещё недоступны. Claude Code переключается на собственные запросы классификатора. Как только этот резервный вариант закрепляется на оставшуюся часть сессии, Claude Code показывает уведомление о плате за запросы классификатора в учётных записях, где эти запросы оплачиваются.
• Сервер не выносит вердикт по действию: Claude Code отклоняет действие, а не выполняет его без проверки. При любом подключении это происходит, когда ответ завершается до поступления результатов проверки или результаты приходят в форме, которую Claude Code не может прочитать. К любому из этих случаев может привести LLM-шлюз или прокси, который обрывает ответы или переписывает результаты. При прямом подключении к Anthropic API это также происходит, когда проверка на сервере для действия завершается сбоем, например по тайм-ауту. В разделе Сервер не вернул вердикт безопасности описаны сообщение об отклонении, что происходит при повторяющихся отклонениях и что делать. Если хук или мод изменяет входные данные действия после проверки сервером, Claude Code может отклонить действие без вердикта. В интерактивных сессиях в терминале и VS Code при прямом подключении к Anthropic API текст отклонения содержит a hook changed this call's input after auto mode reviewed it. Что делать, описано в соответствующей записи об ошибке.

Модель классификатора по умолчанию

Выбор модели классификатора

{
  "env": {
    "CLAUDE_CODE_AUTO_MODE_MODEL": "claude-sonnet-4-6"
  }
}

Когда проверку выполняет не ваша модель

Проверка того, какую модель использовал классификатор

claude --permission-mode auto --debug-file classifier-debug.log

• Ваша модель после model=: переменная вступила в силу
• Другая модель после model=: найдите в логе ignoring CLAUDE_CODE_AUTO_MODE_MODEL — там указаны причина и необходимые действия, если они есть
• Такой строки нет: посмотрите значение Auto mode server в /status в промпте Claude Code:
  • Enabled: сервер настроен проверять вызовы этой сессии.
  • Disabled: эта проверка ещё не протестировала вашу модель. Убедитесь, что режим разрешений — авторежим и ни одно правило разрешений не совпадает с curl, затем снова выполните проверку с отключённой песочницей.

Что классификатор блокирует по умолчанию

• Загрузка и выполнение кода, например curl | bash
• Отправка чувствительных данных на внешние эндпоинты
• Развёртывания и миграции в production
• Массовое удаление в облачном хранилище
• Предоставление разрешений IAM или прав на репозиторий
• Изменение общей инфраструктуры
• Необратимое уничтожение файлов, существовавших до начала сессии
• Force push
• Коммит или push изменения, которое при запуске отправит секреты или чувствительные данные за пределы репозитория или расширит то, что раскрывает развёртывание. Сюда относятся CI workflow или конфигурация развёртывания, передающие секрет получателю, который его ещё не получает, скрипт или шаг настройки, который читает хранилище секретов и отправляет данные наружу, а также изменение конфигурации, расширяющее то, что публикует развёртывание, например настройка реестра, видимости, артефакта или sourcemap. Проверка действует на любой ветке, действует даже для общедоступного репозитория и срабатывает при коммите или push изменения независимо от того, запускает ли этот коммит или push конвейер; чтобы снять блокировку, нужно назвать эффект выполнения, а не только коммит или push
• git reset --hard, git checkout -- ., git restore ., git clean -fd, git stash drop или git stash clear, которые, по предположению классификатора, отбросят незафиксированные изменения
• git commit --amend, если коммит в HEAD был создан не в этой сессии
• Начиная с v2.1.198 — git commit --amend, если коммит в HEAD уже был отправлен через push. Изменение только сообщения не блокируется: --amend -m без новых подготовленных изменений для коммита, который Claude создал в этой сессии
• terraform destroy, pulumi destroy, cdk destroy или terragrunt destroy, а также применение плана, который уничтожает ресурсы
• Запись в менеджер секретов или изменение записей DNS либо сертификатов TLS
• Слияние pull request, который не одобрил ни один человек, одобрение собственного pull request Claude или отключение проверок CI
• Публикация комментария, который сам является командой для автоматизации, например atlantis apply или /deploy либо /merge бота
• Переключение, постепенное включение или удаление feature-флага в production
• Применение изменений инфраструктуры к защищённой области действия IaC, а также вывод узлов кластера из работы (drain) и их удаление
• Запись в общий вычислительный кластер, выходящая за пределы названного вами ресурса, например селектор меток или --all, который затрагивает задания других пользователей
• Создание ресурсов Kubernetes, которые работают на каждом узле или перехватывают трафик кластера, например DaemonSets и admission webhooks
• Интерактивные оболочки или проброс портов на чувствительную удалённую цель
• Открытие туннеля или обратной оболочки, делающих локальный сервис доступным из публичного интернета
• Вывод действующих учётных данных или токена в транскрипт или файл
• Доступ к расположению, указанному как расположение чувствительных данных в вашем окружении, копирование данных из него или отправка данных из него аудитории, которую запись исключает
• Установка пакета в обход вашего внутреннего реестра пакетов через публичный реестр. Это применяется, когда внутренний реестр или зеркало указаны в вашем окружении или когда вы сообщили Claude в диалоге о его существовании
• Запуск команды с флагом, отключающим защитный механизм, например --insecure
• Запуск цикла автономного агента, который работает без подтверждения человеком или песочницы, например запущенного с --dangerously-skip-permissions или --no-sandbox. Сюда относится запуск стороннего агента или eval harness с отключёнными изоляцией и подтверждением каждого действия, например runner, запущенного с --yes-always
• Действия браузера Claude in Chrome, которые могут отправить содержимое страницы, cookie или учётные данные за пределы источника
• Удаление файлов в /tmp, $TMPDIR или другом общем каталоге временных файлов или кэша по подстановочному знаку, glob-шаблону или фильтру по возрасту, а не по конкретному указанному пути
• Включение чувствительных сведений в контент, отправляемый, загружаемый, публикуемый или записываемый для других людей или в общие системы, если ваше собственное сообщение не разрешало передавать эти сведения данному получателю. Тексты PR и issue, сообщения коммитов и комментарии считаются таким исходящим контентом, когда репозиторий находится за пределами границы доверия или является общедоступным, включая собственные общедоступные репозитории вашей организации; внутренние пути к файлам, кодовые названия, данные из реальных ответов API, такие как адреса электронной почты или идентификаторы учётных записей, и идентификаторы инфраструктуры считаются чувствительными сведениями. Реальные персональные данные из ответа API в тексте PR или issue, такие как адрес электронной почты, идентификатор учётной записи или организации либо метрика использования, требуют, чтобы вы назвали эти сведения и получателя, независимо от видимости репозитория или границы доверия
• Отправка нажатий клавиш в собственную панель tmux Claude Code для управления его собственным интерфейсом, которую классификатор рассматривает как изменение Claude собственных разрешений или надзора за собой
• Комментирование, удаление или принудительное прохождение теста или проверки (assertion), защищающих поведение, связанное с безопасностью, например аутентификацию, контроль доступа, валидацию входных данных или изоляцию в песочнице
• Удаление или уничтожение ресурса с состоянием, который Claude не создавал в этой сессии, когда не применяется более конкретное правило удаления и вы не назвали этот ресурс
• Перенаправление базового URL API, эндпоинта прокси, получателя webhook или зеркала реестра на сторонний хост, не соответствующий задаче, в том числе в файлах-примерах, таких как .env.example
• Изменение того, куда выполняются push, с помощью git remote set-url или git remote add, если вы не назвали новый remote
• Push секретов, персональных или доверенных данных в репозиторий, известный как общедоступный, или push туда конфиденциальных материалов, не относящихся к собственной работе этого репозитория. Единственное исключение для персональных или доверенных данных — собственная тематика репозитория dotfiles, а контент из приватного репозитория, попадающий на любую общедоступную площадку, блокируется так же. Если видимость репозитория не установлена, классификатор не блокирует действие только на этом основании; вместо этого он оценивает контент по другим правилам
• Открытие pull request в другой репозиторий или организацию, создание форка с помощью gh repo fork или push в сторонний репозиторий, если вы не назвали эту внешнюю цель
• Попадание контента из чувствительного локального хранилища или из файла, имя, путь или тип которого указывает на его чувствительность, в коммит, push, текст PR или issue, gist или paste либо публикацию пакета, если вы не назвали и источник, и получателя. Сюда относятся транскрипты сессий и логи диалогов, скрытые каталоги с учётными данными и конфигурацией, такие как ключи SSH, облачные учётные данные, профили браузера и история оболочки, а также экспорты пользовательских данных, и то, что репозиторий приватный, блокировку не снимает
• Запись в транскрипты сессий Claude Code — файлы истории .jsonl в ~/.claude/projects/ или в настроенном вами каталоге конфигурации — напрямую или через shell-команду. Правило также распространяется на строки метаданных, которые Claude Code добавляет к каждой записи транскрипта для собственных проверок. Чтение транскрипта не блокируется
• Рекурсивное принудительное удаление, например rm -rf "$VAR" или Remove-Item -Recurse -Force $dir, целью которого является переменная оболочки, не присвоенная в диалоге, который видит классификатор, или glob-шаблон, начинающийся с такой переменной. Без такого присваивания классификатор не может определить, что удалит команда. Блокировка снимается, когда вы называете точный удаляемый путь или когда Claude повторно запускает удаление, вписав в команду вычисленный буквальный путь. Удаления, цель которых классификатор может вычислить, не затрагиваются. Glob-шаблон непосредственно под переменной, как в rm -rf "$VAR"/*, вместо этого считается критическим путём. О целях Remove-Item, которые представляют собой просто * или заканчиваются на /* или \*, см. Remove-Item в PowerShell: Claude Code сразу отклоняет такую команду.

• Запрос учётных данных у эндпоинта метаданных облачного экземпляра, например 169.254.169.254, или явная аутентификация облачного, кластерного или реестрового вызова с помощью собственного сервисного аккаунта или идентификатора узла машины
• Обращение к публичному хосту иным путём, чем прямой запрос, например через туннель, обратную оболочку или конфигурацию резолвера или прокси, переписанную так, чтобы указывать вовне
• Чтение учётных данных, принадлежащих хосту, а не вашей задаче, например сертификатов узла или данных аутентификации узла в реестре контейнеров
• Подключение к соседним контейнерам, подам или виртуальным машинам, которые Claude не запускал, или к узлу, на котором работает контейнер, а также их сканирование

• Публикация или запись ссылки на общедоступный сервис для paste, диаграмм или обмена данными в сообщении, тексте PR или issue, документе или в любом другом месте, где ссылка будет открыта или загружена, когда сам URL содержит передаваемый контент, если вы не назвали этот сервис

• Локальные операции с файлами в вашем рабочем каталоге
• Установка зависимостей, объявленных в ваших lock-файлах или манифестах
• Чтение .env и отправка учётных данных в соответствующий им API
• HTTP-запросы только для чтения
• Push в любую ветку репозитория, в котором вы работаете, включая ветку по умолчанию. Это не распространяется на ветку, не являющуюся веткой по умолчанию, имя которой обозначает её как цель развёртывания или публикации, например production или gh-pages: push в неё классификатор оценивает отдельно. Содержимое push по-прежнему проверяется по другим правилам классификатора, а правила permissions.deny по-прежнему могут блокировать команды push в том виде, в каком они написаны, в любом режиме. Собственная защита веток на стороне remote по-прежнему действует.
• Удаление именно тех заданий, которые Claude создал ранее в той же сессии
• Чтение, проверка или написание кода, конфигураций и моделей угроз, связанных с безопасностью, в рамках вашей задачи
• Сообщения между агентами, работающими вместе в одной многоагентной сессии
• Отправка данных на доверенные домены, в бакеты и сервисы, которые вы указали в environment. Это распространяется только на передачу данных, а не на деструктивные операции или операции с учётными данными в той же инфраструктуре
• Навигация Claude in Chrome на доверенный внутренний домен, localhost или названный вами URL

Первое чтение за пределами рабочих каталогов

• Да, и и дальше разрешать любое чтение за пределами рабочих каталогов: чтение выполняется, последующие чтения за пределами рабочих каталогов выполняются как прежде, а Claude Code сохраняет ваш ответ, чтобы запрос больше не появлялся
• Нет, и с этого момента блокировать чтение за пределами рабочих каталогов: в чтении отказано, а Claude Code устанавливает permissions.blockReadsOutsideWorkingDirectories в значение true в ваших пользовательских настройках, из-за чего файловые инструменты отказывают в таком чтении в этой и во всех последующих сессиях и во всех режимах разрешений. Чтобы снять блокировку, удалите эту настройку из каждого файла настроек, в котором она задана, затем перезапустите каждую работающую сессию. Для одного каталога в текущей сессии используйте /add-dir.
• Нет, и спросить снова в следующий раз: в чтении отказано, и при следующем чтении за пределами рабочих каталогов запрос появится снова
• Да, но спросить снова в следующий раз: чтение выполняется, ничего не сохраняется, и при следующем чтении за пределами рабочих каталогов запрос появится снова

Ограничения, которые вы задаёте в диалоге

Подтверждения, которые вы даёте в диалоге

• Назовите действие и его конкретику: ваше сообщение должно назвать действие и конкретное обстоятельство, которое делает его опасным, например ветку для force push. Одно лишь упоминание глагола ничего не снимает, поэтому «можешь сделать force push» оставляет блокировку в силе.
• Рассчитывайте на одно действие: подтверждение распространяется на названное вами деструктивное действие, поэтому последующее действие снова блокируется, если только вы не дали подтверждение как постоянное. Чтобы не подтверждать рутинный шаблон каждый раз по одному действию, добавьте его в autoMode.allow.
• Некоторые блокировки остаются в силе: порядок приоритета классификатора определяет, какие блокировки может снять ваше подтверждение. Чтобы выполнить шаг, блокировку которого оно не снимает, выйдите из авторежима и ответьте на запрос разрешения.

Когда авторежим переключается на резервный вариант

• Заблокированное действие: Claude Code показывает уведомление и выводит действие в /permissions на вкладке Recently blocked, где можно подтвердить действие, чтобы Claude мог повторить попытку.
• Повторяющиеся блокировки: если классификатор блокирует действие 3 раза подряд или 20 раз в сумме, авторежим приостанавливается, и Claude Code снова начинает запрашивать разрешения. Подтверждение запрошенного действия возобновляет авторежим. О том, как подсчитываются блокировки, см. Пороги повторяющихся блокировок.
• Нет вердикта от классификатора: когда проверка безопасности, не связанная с авторежимом, отклоняет собственный запрос классификатора или ответ классификатора не удаётся разобрать, Claude Code блокирует действие без уведомления и без записи в Recently blocked. Какое сообщение показывается в каждом случае и что делать, см. в разделе Авторежим не может определить безопасность действия.
• Нет вердикта от сервера: при проверке классификатором на стороне сервера Claude Code отклоняет действие, по которому сервер не вынес вердикт, и может остановить ход после десяти подряд ответов без вердикта. См. Сервер не вернул вердикт безопасности.
• Переключение режима во время проверки: если вы переключаете режим разрешений, пока проверка классификатора ещё не завершена, Claude Code отбрасывает вердикт, который новый режим не запросил бы. Вместо этого вам показывается запрос подтверждения, либо действие автоматически отклоняется в режиме dontAsk.

Пороги повторяющихся блокировок

Как авторежим оценивает действия

Разрешить только предварительно одобренные инструменты с режимом dontAsk

• Распознанные удаления rm и rmdir, нацеленные на критический путь, такие как rm -rf / и rm -rf ~
• Чтение по сетевому пути

claude --permission-mode dontAsk

Пропустить все проверки с режимом bypassPermissions

• Запрос одобрения isolatePeerMachines для сообщений вашим сеансам за пределами этой машины по-прежнему появляется.
• Когда не применяется значение crossSessionInbound, Claude Code держит входящее сообщение от другого вашего сеанса для вашего одобрения и доставляет без запроса только когда отправляющий сеанс идентифицирует себя как также обходящий запросы разрешений. Если вы покидаете режим разрешений, пока сообщения удерживаются, Claude Code повторно применяет входящие правила и доставляет любое удерживаемое сообщение, которое они теперь принимают.

claude --permission-mode bypassPermissions

• Если вы согласитесь: Claude Code устанавливает skipDangerousModePermissionPrompt на true в ~/.claude/settings.json, поэтому более поздние сеансы пропускают диалоговое окно. Чтобы увидеть диалоговое окно снова, удалите ключ из этого файла или установите его на false. Справка skipDangerousModePermissionPrompt перечисляет другие файлы параметров, где вы или ваша организация можете установить его.
• Если вы отклоните: Claude Code выходит.

• Если согласие не записано, claude --bg --permission-mode bypassPermissions отклоняется. Сначала примите диалоговое окно в интерактивной сессии.
• Если skipDangerousModePermissionPrompt задан только в .claude/settings.local.json, фоновая сессия запускается, игнорируя запрос на обход:
  • Если проигнорирован --allow-dangerously-skip-permissions, bypassPermissions исключается из её цикла Shift+Tab.
  • Если проигнорированы --permission-mode bypassPermissions или --dangerously-skip-permissions, сессия вместо этого запускается в режиме Manual.
  Добавьте "skipDangerousModePermissionPrompt": true в ~/.claude/settings.json, а затем запустите новую фоновую сессию.

--dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons

Обход разрешений проигнорирован в фоновой сессии

Bypass permissions was requested at launch and ignored · if that was you, ~/.claude/settings.json needs "skipDangerousModePermissionPrompt": true

claude agents показывает предупреждение об обходе разрешений, которое интерактивные сессии пропускают

Защищённые пути

• Для папки .claude/ проекта: Да, и разрешить Claude редактировать файлы в папке .claude этого проекта для этого сеанса
• Для ~/.claude/: Да, и разрешить Claude редактировать файлы в своей папке ~/.claude для этого сеанса

• .git
• .config/git
• .vscode
• .idea
• .husky
• .cargo
• .devcontainer
• .yarn
• .mvn
• .claude, за некоторыми исключениями, например:
  • собственные git worktrees Claude в .claude/worktrees/
  • собственные файлы планов текущей сессии в ~/.claude/plans/ или в заданном вами plansDirectory
  • собственный временный каталог фоновой сессии в ~/.claude/jobs/<id>/tmp/
  • файлы markdown в каталоге автоматической памяти проекта, например ~/.claude/projects/<project>/memory/, в сессии, запущенной без --restricted
  • файлы markdown в каталоге памяти субагента, например .claude/agent-memory/, в сессии, запущенной без --restricted
• Каталог, который вы загрузили с помощью --plugin-dir, потому что Claude Code перезагружает и запускает код мода из него при изменении файла
• ~/.claude/dev-mods/ или dev-mods/ в каталоге, на который указывает CLAUDE_CONFIG_DIR, куда Claude сохраняет моды, которые он пишет для вас

• .gitconfig, .gitmodules
• .bashrc, .bash_profile, .bash_login, .bash_aliases, .bash_logout, .zshrc, .zprofile, .zshenv, .zlogin, .zlogout, .profile, .envrc
• .npmrc, .yarnrc, .yarnrc.yml, .pnp.cjs, .pnp.loader.mjs, .pnpmfile.cjs, bunfig.toml, .bunfig.toml
• .bazelrc, .bazelversion, .bazeliskrc
• .pre-commit-config.yaml, lefthook.yml, lefthook.yaml, .lefthook.yml, .lefthook.yaml
• gradle-wrapper.properties, maven-wrapper.properties
• .devcontainer.json
• .ripgreprc, pyrightconfig.json
• .mcp.json, .claude.json
• remote-settings.json — сохранённая копия управляемых сервером настроек вашей организации, а также файлы подписи, синхронизации и согласия, которые Claude Code хранит вместе с ней, в ~/.claude или в каталоге, на который указывает CLAUDE_CONFIG_DIR
• Файл, который вы передали в --settings, --mcp-config или --agents при запуске сессии
• Файл, на который указывает ваш пользовательский, проектный или локальный файл настроек, когда сам файл настроек является символической ссылкой, например в репозиторий dotfiles. В режимах, которые маршрутизируют записи в защищённые пути классификатору, запись в этот файл вместо этого требует вашего подтверждения, даже если совпадает правило allow. Если собственный путь файла также является путём файла настроек, например .claude/settings.json в другой папке, запись направляется классификатору, как и другие записи в защищённые пути

Критические пути

• Правила deny: правило deny, совпадающее с командой, блокирует её, хотя установленный вами мод всё ещё может одобрить некоторые из таких вызовов
• Изоляция в песочнице: при изоляции в песочнице операционная система ограничивает пути, в которые могут записывать команды Bash. Команды в песочнице всё равно могут удалить ваш рабочий каталог
• Строгий режим песочницы: по умолчанию команду в песочнице можно повторить вне песочницы, и правило allow или режим bypassPermissions могут одобрить эту повторную попытку без запроса. Строгий режим песочницы отключает повторную попытку

Какие пути являются критическими

• Корневой каталог файловой системы
• Каталоги верхнего уровня, то есть любой прямой потомок корня, такой как /usr, /etc или /data
• Ваш домашний каталог. В Windows также учитывается его короткое имя 8.3, например C:\Users\LONGNA~1
• Корни дисков Windows и их каталоги верхнего уровня, такие как C:\ и C:\Windows. Такие варианты написания, как \\?\C:\ и \\localhost\C$, считаются C:\
• Ваш рабочий каталог и его родители
• Ваши дополнительные рабочие каталоги и их родители, но только когда удаление — это glob под одним из них, такой как rm -rf <dir>/*. rm -rf <dir> на самом каталоге не вызывает эту проверку

Другие цели, которые считаются критическими путями

Удаления внутри вложенных команд и встроенных скриптов

• Вложенные команды: подоболочка с (...), группа в фигурных скобках с { ...; }, подстановка команд с $(...) или обратные кавычки, или подстановка процесса с <(...). Claude Code находит удаление критического пути, находится ли оно внутри вложенной формы, как в (rm -rf ~) или echo "$(rm -rf ~)", или в другом месте той же команды.
• Встроенные скрипты: скрипт, переданный sh, bash, zsh или аналогичной POSIX-оболочке с -c, как в bash -c 'rm -rf ~'.
  • Когда скрипт заключён в двойные кавычки, вызывающая оболочка расширяет его переменные перед тем, как внутренняя оболочка получит скрипт. В find . -name '*.tmp' -exec sh -c "rm -rf \"$1\"/*" _ {} \; команда расширяется в удаление из корня файловой системы один раз для каждого совпадения, и Claude Code рассматривает это как удаление критического пути.
  • Скрипт в одинарных кавычках, который привязывает $1 к реальному значению, как sh -c 'rm -rf "$1"/*' _ {}, не помечается.

Переписать помеченную команду

• Glob или косая черта под переменной, такой как $DIR: защитите каждое расширение так, чтобы оболочка остановилась с ошибкой, когда переменная не установлена или пуста, как в rm -rf "${DIR:?}"/*, или используйте буквальный путь. Удаление, чьи расширения защищены таким образом, проходит эту проверку, поэтому в режиме bypassPermissions оно выполняется без запроса, если другая критическая-путь проверка не помечает его.
• Glob или косая черта под переменной, которая обычно установлена, такой как $HOME: используйте буквальный путь.
• Переменная, присвоенная из подстановки, выводящей каталог: используйте буквальный путь. Защита "${D:?}" не очищает эту проверку, потому что переменная не пуста.
• Цель, которая является только выводом подстановки команды: запустите подстановку самостоятельно сначала, а затем удалите буквальные пути, которые она выводит. Запрос говорит Claude сделать то же самое.

Запрос Dangerous rm operation not ruled out

Dangerous rm operation not ruled out — the shell may read this command differently than it was parsed

This command could not be checked for dangerous rm operations: the shell may read it differently than it was parsed.

Запрос для смонтированных дисков

Пути, для которых появляется запрос для смонтированных дисков

Отключение запроса для смонтированных дисков

export CLAUDE_CODE_DISABLE_MOUNTED_DRIVE_RM_PROMPT=1
claude

• Переменная в файле настроек: Claude Code игнорирует переменную в блоке env файла настроек, независимо от вида файла настроек, поэтому вместо этого установите переменную там, где вы запускаете claude
• Сессия запущена без переменной: снова запустите claude из окружения, в котором переменная установлена, поскольку запущенная сессия её не подхватывает

Удаления, которые по-прежнему вызывают запрос при отключённом запросе для смонтированных дисков

• Цель вне ваших рабочих каталогов: rm -rf /Volumes/USB/other, пока вы работаете в /Volumes/USB/project, получает запрос. Чтобы убрать этот запрос, добавьте в сессию каталог, содержащий цель
• Цель с *: rm -rf build/* получает запрос. Одобрите этот запрос, чтобы выполнить команду, или попросите Claude назвать каждую цель без *
• Цель, являющаяся критическим путём: сам /mnt и сам ваш рабочий каталог остаются критическими путями, поэтому rm -rf на любом из них получает запрос. Одобрите этот запрос, чтобы позволить rm выполниться

Удаления критических путей в каждом режиме разрешений

Ограничения по времени и отклонения в режимах auto и bypassPermissions

• Если обратный отсчёт закончится до того, как вы ответите, Claude Code отклоняет команду и говорит Claude, что делать вместо этого, поэтому автоматический сеанс продолжает работать.
• Нажмите любую клавишу, пока запрос открыт, чтобы остановить обратный отсчёт и оставить запрос в ожидании вашего ответа.
• После трёх таких запросов, которые остаются без ответа в сеансе, Claude Code перестаёт их показывать и немедленно отклоняет дальнейшие удаления критических путей. Отправка нового сообщения начинает отсчёт заново.

• bypassPermissions: запрос в терминале не имеет ограничения по времени, а панель чата VS Code спрашивает вас
• auto: решает классификатор — в терминале, в панели чата VS Code, в запусках с -p и в сессиях Agent SDK

{
  "claudeCode.environmentVariables": [
    { "name": "CLAUDE_CODE_DISABLE_DANGEROUS_RM_TIMEOUT", "value": "1" }
  ]
}

Отключение запроса при удалении критических путей в режиме bypassPermissions

export CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS=1
claude --permission-mode bypassPermissions

$env:CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS = "1"
claude --permission-mode bypassPermissions

set CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS=1
claude --permission-mode bypassPermissions

Уведомления при запуске о запросе при удалении критических путей

• is set, so dangerous rm commands can run without a prompt: удаления могут выполняться без запроса после того, как загрузятся управляемые настройки и хуки плагинов. Если удаления по-прежнему получают запрос или отклонение, см. Почему запрос при удалении критических путей остаётся включённым
• has no effect in this session: удаления сохраняют свой обычный запрос или отклонение на протяжении всей сессии. Чтобы это изменить, найдите свой случай в разделе Почему запрос при удалении критических путей остаётся включённым
• has no effect while the Windows registry cannot be read for managed settings: удаления сохраняют свой обычный запрос или отклонение, а переменная вступает в силу без перезапуска, если последующее чтение реестра завершится успешно. Если удаления по-прежнему получают запрос или отклонение, см. Почему запрос при удалении критических путей остаётся включённым

Почему запрос при удалении критических путей остаётся включённым

• Запросы разрешений обрабатывает что-то другое: --permission-prompt-tool или callback canUseTool Agent SDK без --permission-prompts none, хук PermissionRequest с любым matcher или мод, обрабатывающий это событие. Удалите хук, мод, инструмент или callback и перезапустите claude
• Сессию запускает панель чата расширения VS Code или приложение Desktop: вместо этого запустите claude в терминале, например во встроенном терминале IDE
• Правило охватывает Bash, Edit или Read: правило deny или ask, нацеленное на один из этих инструментов, при запуске или после того, как Claude Code прочитает его во время сессии, даже если вы позже его удалите. Удалите правило и перезапустите claude. Чтобы исключить инструмент, используйте --tools вместо правила deny
• Включена настройка permissions.blockReadsOutsideWorkingDirectories: удалите эту настройку из каждого файла настроек, где она установлена в true, затем перезапустите claude
• claude запущен внутри другой сессии: claude, запущенный из инструмента Bash сессии или из хука, даже если переменная указана в его командной строке. Запускайте claude из своей оболочки. Не полагайтесь на это ограничение вложенных сессий как на границу безопасности
• Хук PreToolUse отвечает ask для удаления: измените то, что возвращает хук
• Claude Code запускает сессию за вас: фоновые сессии, участники команды агентов в разделённых панелях и сессии, которые создаёт сервер Remote Control, запускаются без переменной. Запускайте claude из своей оболочки
• Не удаётся прочитать управляемые настройки: Claude Code не смог успешно прочитать источники ваших управляемых настроек. Если серверные управляемые настройки по-прежнему не загружаются, см. Remote managed settings failed to load. При любом другом сбое, не связанном с запросом к реестру, попросите того, кто управляет этим источником, исправить его
• Не удаётся выполнить запрос к реестру Windows: в Windows и в WSL переменной нужен ответ от реестра, даже когда WSL не использует его для настроек. Запрос может не выполняться на протяжении всей сессии в неанглоязычной Windows, в WSL с отключённым interop или в контейнере на ядре WSL2. Если interop отключён, включите его. В противном случае выполняйте такие удаления сами

Remove-Item в PowerShell

• Системные пути: корневой каталог файловой системы и его каталоги верхнего уровня, корни дисков и их каталоги верхнего уровня, и ваш домашний каталог. Claude Code отклоняет команду в каждом режиме, без запроса у вас.
• Подстановочные знаки: голый * или любая цель, заканчивающаяся на /* или \*, включая glob под переменной оболочки, такой как $dir/*. Claude Code отклоняет команду в каждом режиме, без запроса у вас, перед тем как классификатор её видит.
• Ваш рабочий каталог или один из его родителей, с -Recurse: Claude Code рассматривает команду как любую другую, которая требует одобрения в вашем режиме разрешений, поэтому он спрашивает вас в режимах, которые спрашивают, отправляет её классификатору в режиме auto и отклоняет её в режиме dontAsk. Режим bypassPermissions пропускает эту проверку.

См. также

• Permissions: правила allow, ask и deny; управляемые политики
• Configure auto mode: скажите классификатору, какую инфраструктуру ваша организация доверяет
• Hooks: пользовательская логика разрешений через hooks PreToolUse и PermissionRequest
• Security: гарантии безопасности и лучшие практики
• Sandboxing: изоляция файловой системы и сети для команд Bash
• Non-interactive mode: запустите Claude Code с флагом -p