选择权限模式

​

可用的模式

​

任何模式都不会自动批准的操作

• 与显式 询问规则 匹配的工具
• 您的组织 设置为 ask 的连接器工具，在该设置到达 Claude Code 的会话中
• 需要用户交互的工具：内置 AskUserQuestion 工具和标记为 requiresUserInteraction 的 MCP 工具
• 可识别的 rm 和 rmdir 关键路径删除，任何允许规则或 PreToolUse hook "allow" 都无法批准；以及被标记为 Dangerous rm operation not ruled out 的 Bash 命令
• 跨会话消息传递保护措施
• 在 permissions.blockReadsOutsideWorkingDirectories 打开时在工作目录外读取：识别的文件读取 Bash 命令和任何需要批准才能在沙箱外运行的 未沙箱化重试，即使在 auto 模式和 bypassPermissions 模式下也会提示。需要 Claude Code v2.1.257 或更高版本。 shell 解析器无法追踪的命令，例如更改目录多次或运行子 shell 的命令，即使在未命名任何外部路径时也会以相同方式提示。当命令在 沙箱 中运行且沙箱强制执行该块时，此提示不适用。
• 在 permissions.blockWritesOutsideWorkingDirectories 打开时在工作目录外写入：Claude Code 会拒绝在这些位置的 Write、Edit 和 NotebookEdit 调用，但 其自身的部分文件 除外。该设置项不限制 shell 命令、MCP 工具或 hook 运行的程序，因此请使用 沙箱隔离 来限制 shell 命令的写入位置。需要 Claude Code v2.1.314 或更高版本。

​

常见设置

​

会话在哪个模式下启动

1. --permission-mode 标志或 --dangerously-skip-permissions
2. 设置文件中的 permissions.defaultMode 如果您在 .claude/settings.json 或 .claude/settings.local.json 中设置 "auto"，该值不会生效，Claude Code 然后使用内置默认值而不是来自 ~/.claude/settings.json 的 defaultMode。如果您在这两个文件中设置 "bypassPermissions"，它也不会生效，会话以 Manual 模式启动。其他值从任何设置文件应用。
3. 内置默认值

• 在终端中，一次，在会话顶部
• 在 VS Code 扩展中，作为新对话屏幕上的卡片，保留直到您关闭它

​

在 claude -p 和 Agent SDK 运行中被拒绝的工具调用

• 添加允许规则：Claude 运行您列出的调用。向 claude -p 传递 --allowedTools "Bash(npm test)"，或设置您 SDK 的允许工具选项。
• 以自动模式启动：由分类器模型审查调用，因此您无需预先列出任何内容。向 claude -p 传递 --permission-mode auto，或设置您 SDK 的权限模式选项。

claude -p "Run the test suite and fix any failures" --permission-mode auto

const options = {
  permissionMode: "auto"
};

from claude_agent_sdk import ClaudeAgentOptions

options = ClaudeAgentOptions(permission_mode="auto")

​

以不同的权限模式启动

{
  "permissions": {
    "defaultMode": "default"
  }
}

​

HIPAA 配置下的权限模式

• 切换到自动模式：按 Shift+Tab，或使用您界面中的控件
• 以自动模式启动：传递 --permission-mode auto，或在您的用户设置中将 permissions.defaultMode 设置为 auto，或在托管设置中为整个组织进行此设置。请参阅以不同的权限模式启动
• 移除自动模式：在托管设置中将 permissions.disableAutoMode 设置为 "disable"
• 阻止 bypassPermissions：在托管设置中将 permissions.disableBypassPermissionsMode 设置为 "disable"

​

切换权限模式

claude --permission-mode plan

claude remote-control --permission-mode acceptEdits

​

使用 acceptEdits 模式自动批准文件编辑

• 超出该范围的路径
• 对受保护路径的写入
• 可识别的 rm 和 rmdir 关键路径移除操作
• touch 带有纯文件路径以外的任何内容，例如选项、glob，或 timeout 5、LANG=C 之类的前缀
• 除内置只读集合之外的所有其他 Bash 命令

claude --permission-mode acceptEdits

​

使用计划模式在编辑前进行分析

• 可使用绕过权限的交互式终端会话：规划命令既不经过分类器，也不会弹出提示。使用 bypassPermissions 模式跳过所有检查介绍了在这种情况下仍会提示的少数几种操作。
• 自动模式可用且 useAutoModeDuringPlan 设置已开启（默认开启）：分类器会审查除关键路径删除以外的 shell 命令，而不是提示您。获批准的命令会运行，被拒绝的命令会被阻止。
• 自动模式不可用，或 useAutoModeDuringPlan 已关闭：内置只读命令集以外的命令会提示您批准，即使启用了沙箱的自动允许模式也是如此。

claude --permission-mode plan

​

审阅并批准计划

• Yes, and use auto mode：批准并以自动模式开始。如果自动模式对您的会话不可用（例如因为您的组织已将其关闭），此选项将显示为 Yes, auto-accept edits。如果您在启动会话时启用了绕过权限，此选项则显示为 Yes, and switch to BYPASS PERMISSIONS (no further prompts) for this session。
• Yes, manually approve edits：批准并逐一审阅每项编辑。
• No, keep planning：保持在计划模式，并告诉 Claude 需要更改什么。

​

将计划模式设为默认

​

使用自动模式消除权限提示

• 计划：所有计划。
• 组织：在 Team 和 Enterprise 上，自动模式默认可用。管理员可以通过在托管设置中将 permissions.disableAutoMode 设置为 "disable" 来为组织关闭该功能。
• 模型：在 Anthropic API 和 Claude Platform on AWS 上，需要 Claude Opus 4.6 或更高版本、Sonnet 4.6 或更高版本、Haiku 5.5，或 Fable 模型。在 Amazon Bedrock、Google Cloud’s Agent Platform、Microsoft Foundry 以及已登录的 Claude apps gateway 会话中，仅支持 Claude Sonnet 5 或更高版本、Opus 4.7 或更高版本、Haiku 5.5 以及 Fable 模型。较旧的模型（包括 Sonnet 4.5、Opus 4.5、Haiku 4.5 和 claude-3 模型）在任何提供商上均不受支持。
• 提供商：在 Anthropic API、Claude Platform on AWS、Amazon Bedrock、Google Cloud’s Agent Platform、Microsoft Foundry 以及已登录的 Claude apps gateway 会话中默认可用。

​

Bedrock、Agent Platform 或 Foundry 上的自动模式

• 交互式终端和 VS Code 会话：要以自动模式以外的权限模式启动它们，请按照以不同的权限模式启动中的说明设置 permissions.defaultMode，或从 VS Code 扩展的模式指示器中选择一种。会话以哪种模式启动列出了以自动模式启动这些会话的 Claude Code 版本。
• claude -p 和 Agent SDK 运行：要以自动模式启动，请向 claude -p 传递 --permission-mode auto，或在 TypeScript 中传递 permissionMode: "auto"、在 Python 中传递 permission_mode="auto"。如果您未传递权限模式，请参阅claude -p 和 Agent SDK 运行中的工具调用被拒绝，其中也介绍了较早的 Claude Code 版本。

​

服务器端分类器审查

• 直接连接到 Anthropic API：在交互式终端会话以及 -p、Agent SDK、VS Code 扩展和桌面应用会话中，无论您的计划或账户类型如何，随 Anthropic 逐步推出而生效。请根据以下最低 Claude Code 版本核对您的会话类型：
  • 在交互式终端会话中，Pro、Max、Ultra 和 Team 计划请求服务器审查需要 Claude Code v2.1.271 或更高版本。在 Enterprise 计划和 Claude API 账户上，这些会话需要 v2.1.278 或更高版本。
  • 在 -p 和 VS Code 扩展会话中，请求服务器审查需要 Claude Code v2.1.278 或更高版本
  • 在 Agent SDK 和桌面应用会话中，请求服务器审查需要 Claude Code v2.1.281 或更高版本
  • 从 v2.1.282 起，不获取功能标志的会话（例如因为您关闭了遥测）在任何类型的会话中都会默认请求服务器审查
• 云提供商，或 LLM 网关或代理：在 Claude Platform on AWS、Amazon Bedrock、Google Cloud’s Agent Platform 和 Microsoft Foundry 上，以及每当您将 ANTHROPIC_BASE_URL 指向 LLM 网关或代理时，无论您的计划如何。默认请求服务器审查需要 Claude Code v2.1.278 或更高版本。
• 已登录的 Claude apps gateway 会话：需要 Claude Code v2.1.280 或更高版本
• Anthropic 托管环境中的云端会话：无论您的计划如何，当您在选择了 Cloud 的情况下从网页、移动应用或桌面应用启动该会话时。由云端定时任务启动的会话会随 Anthropic 逐步推出而请求服务器审查。

• 服务器不审查该会话：响应完成但没有审查结果，或服务器答复它不审查此会话。最常见的原因是 LLM 网关或代理丢弃了审查请求或结果，以及平台、区域或凭据尚不支持服务器端检查。Claude Code 会回退到其自身的分类器请求。一旦该回退在会话剩余时间内保持生效，在这些请求需要计费的账户上，它会显示关于分类器请求费用的通知。
• 服务器未对某个操作给出裁决：Claude Code 会拒绝该操作，而不是在未经审查的情况下运行它。在任何连接上，当响应在审查结果到达前结束，或结果以 Claude Code 无法读取的形式到达时，都会发生这种情况。截断响应或改写结果的 LLM 网关或代理可能导致上述任一情况。在直接连接到 Anthropic API 时，当服务器对该操作的检查失败（例如超时）时也会发生这种情况。服务器未返回安全裁决介绍了拒绝消息、拒绝反复发生时的情况以及处理方法。 如果 hook 或 mod 在服务器审查之后更改了操作的输入，Claude Code 可能会在没有裁决的情况下拒绝该操作。在直接连接到 Anthropic API 的交互式终端和 VS Code 会话中，拒绝消息的文本包含 a hook changed this call's input after auto mode reviewed it。其错误条目介绍了处理方法。

​

默认分类器模型

​

选择分类器模型

{
  "env": {
    "CLAUDE_CODE_AUTO_MODE_MODEL": "claude-sonnet-4-6"
  }
}

​

当审查的并非您设置的模型时

​

查看分类器使用了哪个模型

claude --permission-mode auto --debug-file classifier-debug.log

• model= 之后是您的模型：该变量已生效
• model= 之后是其他模型：在日志中搜索 ignoring CLAUDE_CODE_AUTO_MODE_MODEL，其中会给出原因以及需要采取的步骤
• 没有这样的行：在 Claude Code 提示符下查看 /status 中的 Auto mode server：
  • Enabled：服务器已设置为审查此会话的调用。
  • Disabled：此检查尚未测试到您的模型。请确保权限模式为 auto，且没有任何权限规则匹配 curl，然后在关闭沙箱的情况下再次运行该检查。

​

分类器默认阻止的内容

• 下载并执行代码，例如 curl | bash
• 将敏感数据发送到外部端点
• 生产环境部署和迁移
• 在云存储上进行批量删除
• 授予 IAM 或仓库权限
• 修改共享基础设施
• 不可逆地销毁会话开始前已存在的文件
• 强制推送
• 提交或推送一项更改，该更改在运行时会将密钥或敏感数据发送到仓库之外，或扩大部署所暴露的内容。这包括将密钥传递给尚未接收它的目标的 CI 工作流或部署配置、读取密钥存储并将数据发送出去的脚本或设置步骤，以及扩大部署发布内容的配置更改，例如注册表、可见性、制品或 sourcemap 设置。该检查适用于任何分支，即使仓库是公开的也同样适用，并在更改被提交或推送时触发，无论该提交或推送是否会触发流水线；要解除阻止，需要说明其执行效果，而不仅仅是提交或推送本身
• git reset --hard、git checkout -- .、git restore .、git clean -fd、git stash drop 或 git stash clear，分类器会假定这些命令会丢弃未提交的更改
• 当 HEAD 处的提交并非在本会话中创建时执行 git commit --amend
• 从 v2.1.198 起，当 HEAD 处的提交已被推送时执行 git commit --amend。仅修改提交信息的改写不会被阻止：即在 Claude 于本会话中创建的提交上，不暂存任何新内容的情况下执行 --amend -m
• terraform destroy、pulumi destroy、cdk destroy 或 terragrunt destroy，以及应用会销毁资源的计划
• 写入密钥管理器，或更改 DNS 记录或 TLS 证书
• 合并没有任何人工批准的 Pull Request、批准 Claude 自己的 Pull Request，或禁用 CI 检查
• 发布本身就是对自动化发出的命令的评论，例如 atlantis apply 或机器人的 /deploy 或 /merge
• 切换、逐步放量或删除生产环境的功能标志
• 将基础设施更改应用到受保护的 IaC 作用域，或排空并移除集群节点
• 对共享计算集群的写入超出了您所指定的资源，例如会波及其他用户作业的标签选择器或 --all
• 创建在每个节点上运行或拦截集群流量的 Kubernetes 资源，例如 DaemonSet 和准入 webhook
• 连接到敏感远程目标的交互式 shell 或端口转发
• 打开使本地服务可从公共互联网访问的隧道或反向 shell
• 将有效的凭据或令牌打印到会话记录或文件中
• 访问在您的环境中被列为敏感数据位置的位置、从中复制数据，或将数据从此类位置发送给该条目所排除的受众
• 绕过您的内部包注册表、将包安装路由到公共注册表。当您的环境中列出了内部注册表或镜像，或者您在对话中告诉 Claude 存在内部注册表或镜像时，此规则适用
• 使用会解除安全防护的标志运行命令，例如 --insecure
• 启动无需人工批准或沙箱即可运行的自主 Agent 循环，例如使用 --dangerously-skip-permissions 或 --no-sandbox 启动的循环。这包括在禁用隔离和逐操作批准的情况下运行第三方 Agent 或评估工具，例如使用 --yes-always 启动的运行器
• 可能将页面内容、cookie 或凭据发送到源站之外的 Claude in Chrome 浏览器操作
• 通过通配符、glob 或时间过滤器（而非指定的具体路径）删除 /tmp、$TMPDIR 或其他共享临时目录或缓存目录中的文件
• 在发送、上传、发布或写入给他人或共享系统的内容中包含敏感细节，而您自己的消息并未授权将这些细节提供给该接收方。当仓库位于信任边界之外或为公开仓库（包括您组织自己的公开仓库）时，PR 和 issue 正文、提交信息以及评论都属于此类外发内容；内部文件路径、代号、实时 API 响应数据（例如电子邮件或账户标识符）以及基础设施标识符都属于敏感细节。对于 PR 或 issue 正文中来自 API 响应的实时个人数据，例如电子邮件地址、账户或组织标识符或使用量指标，无论仓库的可见性或信任边界如何，都需要您明确指出这些细节和接收方
• 向 Claude Code 自己的 tmux 窗格发送按键以驱动其自身界面，分类器会将此视为 Claude 更改其自身的权限或监督
• 注释掉、删除或强制通过用于保护安全行为（例如身份验证、访问控制、输入验证或沙箱隔离）的测试或断言
• 删除或拆除 Claude 未在本会话中创建的有状态资源，且没有更具体的删除规则适用、您也未指定该资源
• 将 API 基础 URL、代理端点、webhook 接收器或注册表镜像重新指向与任务不相符的第三方主机，包括在 .env.example 等示例文件中
• 使用 git remote set-url 或 git remote add 更改推送目标，除非您指定了新的远程仓库
• 将密钥或个人数据、受托数据推送到已知为公开的仓库，或将不属于该仓库本身工作的机密材料推送到该仓库。对于个人数据或受托数据，唯一的例外是 dotfiles 仓库本身的主题内容；来自私有仓库的内容进入任何公开渠道也会以同样方式被阻止。当仓库的可见性无法确定时，分类器不会仅凭这一点进行阻止，而是依据其他规则来判断内容
• 向其他仓库或组织发起 Pull Request、使用 gh repo fork 进行 fork，或推送到第三方仓库，除非您指定了该外部目标
• 来自敏感本地存储的内容，或来自名称、路径或类型表明其为敏感文件的内容，进入提交、推送、PR 或 issue 文本、gist 或粘贴、或包发布，除非您同时指定了来源和目标。会话记录和对话日志、凭据和配置类点文件夹（例如 SSH 密钥、云凭据、浏览器配置文件和 shell 历史记录）以及用户数据导出都包括在内，仓库为私有也不能解除此阻止
• 写入 Claude Code 会话记录，即 ~/.claude/projects/ 或您所配置的配置目录下的 .jsonl 历史文件，无论是直接写入还是通过 shell 命令写入。该规则还涵盖 Claude Code 为其自身检查而附加到每条会话记录条目中的元数据行。读取会话记录不会被阻止
• 递归强制删除，例如 rm -rf "$VAR" 或 Remove-Item -Recurse -Force $dir，其目标是在分类器所见对话中未赋值的 shell 变量，或以此类变量为根的 glob。没有该赋值，分类器就无法判断该命令会删除什么。 当您指明要删除的确切路径，或 Claude 将解析后的字面路径写入命令并重新运行删除时，该阻止会解除。分类器能够解析目标的删除操作不受影响。 直接位于变量下的 glob（例如 rm -rf "$VAR"/*）则属于关键路径。对于目标为单独的 * 或以 /* 或 \* 结尾的 Remove-Item，请参阅 PowerShell 中的 Remove-Item：Claude Code 会直接拒绝该命令。

• 从云实例元数据端点（例如 169.254.169.254）请求凭据，或明确使用机器自身的服务账户或节点身份对云、集群或注册表调用进行身份验证
• 通过直接请求以外的路径访问公共主机，例如隧道、反向 shell，或被改写为指向外部的解析器或代理配置
• 读取属于主机而非您的任务的凭据，例如节点证书或节点的容器注册表身份验证信息
• 连接或扫描 Claude 未启动的同级容器、pod 或虚拟机，或容器所在的节点

• 当 URL 本身携带了正在共享的内容时，在消息、PR 或 issue 文本、文档或任何其他会打开或获取该链接的地方，发布或写入指向公共粘贴、图表或数据共享服务的链接，除非您指定了该服务

• 在您的工作目录中进行本地文件操作
• 安装您的锁文件或清单中声明的依赖
• 读取 .env 并将凭据发送到与之匹配的 API
• 只读 HTTP 请求
• 推送到您正在处理的仓库的任何分支，包括默认分支。名称表明其为部署或发布目标的非默认分支（例如 production 或 gh-pages）不在此列：分类器会单独判断推送到这类分支的操作。 推送的内容仍会根据分类器的其他规则进行检查，permissions.deny 规则在所有模式下仍可按命令的书写形式阻止推送命令。远程仓库自身的分支保护仍然适用。
• 删除 Claude 在同一会话中先前创建的确切作业
• 作为任务的一部分，读取、审查或编写与安全相关的代码、配置和威胁模型
• 在同一多 Agent 会话中协同工作的 Agent 之间的消息
• 将数据发送到您在 environment 中列出的受信任域名、存储桶和服务。这仅涵盖数据流动，不包括对同一基础设施的破坏性操作或凭据操作
• Claude in Chrome 导航到受信任的内部域名、localhost 或您指定的 URL

​

首次读取工作目录之外的内容

• 是，并继续允许读取工作目录之外的任何内容：读取会运行，之后对工作目录之外内容的读取照常运行，并且 Claude Code 会记录您的回答，使该提示不再出现
• 否，并从现在起阻止读取工作目录之外的内容：读取会被拒绝，并且 Claude Code 会在您的用户设置中将 permissions.blockReadsOutsideWorkingDirectories 设置为 true，这会使文件工具在本会话及之后的每个会话、每种权限模式中拒绝此类读取。要解除该阻止，请从设置了该项的每个设置文件中移除该设置，然后重启每个正在运行的会话。如果只需在本会话中放开某一个目录，请使用 /add-dir。
• 否，下次再询问：读取会被拒绝，下一次读取工作目录之外的内容时会再次提示
• 是，但下次再询问：读取会运行，不会保存任何内容，下一次读取工作目录之外的内容时会再次提示

​

您在对话中声明的边界

​

您在对话中声明的批准

• 指明操作及其具体细节：您的消息必须指明该操作以及使其具有危险性的具体内容，例如强制推送的分支。仅指明动词不会解除任何阻止，因此”您可以强制推送”不会解除阻止。
• 预期它仅涵盖一个操作：批准涵盖您所指明的破坏性操作，因此之后的操作会再次被阻止，除非您授予的是持续性批准。如果不想逐个操作地批准某种常规模式，请将其添加到 autoMode.allow。
• 有些阻止会保持不变：分类器的优先级顺序规定了您的批准可以解除哪些阻止。要运行它不会解除阻止的步骤，请退出自动模式并回应权限提示。

​

自动模式回退时

• 操作被阻止：Claude Code 会显示通知，并在 /permissions 的 Recently blocked 选项卡下列出该操作，您可以在那里批准该操作，以便 Claude 重试。
• 反复阻止：如果分类器连续 3 次或累计 20 次阻止操作，自动模式会暂停，Claude Code 会恢复提示。批准被提示的操作后会恢复自动模式。有关阻止次数的计算方式，请参阅反复阻止阈值。
• 分类器未给出裁决：当独立于自动模式的安全检查拒绝了分类器自身的请求，或分类器的响应无法解析时，Claude Code 会阻止该操作，且不显示通知，也不会添加 Recently blocked 条目。有关每种情况显示的消息及处理方法，请参阅自动模式无法确定操作的安全性。
• 服务器未返回判定结果：在服务器端分类器审查下，如果服务器未对某项操作给出判定结果，Claude Code 会拒绝该操作；如果连续十次响应都没有判定结果，Claude Code 可能会停止当前轮次。请参阅服务器未返回安全判定结果。
• 检查期间切换模式：如果您在分类器检查尚未完成时切换权限模式，Claude Code 会丢弃新模式本不会请求的裁决。此时会改为提示您批准，或者在 dontAsk 模式下自动拒绝该操作。

​

反复阻止阈值

​

自动模式如何评估操作

​

使用 dontAsk 模式仅允许预先批准的工具

• 可识别的 rm 和 rmdir 关键路径移除操作，例如 rm -rf / 和 rm -rf ~
• 从网络路径进行的读取

claude --permission-mode dontAsk

​

使用 bypassPermissions 模式跳过所有检查

• 针对发送到此机器之外的您的会话的消息，isolatePeerMachines 批准提示仍会出现。
• 当没有 crossSessionInbound 值适用时，Claude Code 会保留来自您另一个会话的入站消息以供您批准，仅当发送会话将自己标识为同样绕过权限提示时才无需询问即可传递。如果您在消息被保留期间离开该权限模式，Claude Code 会重新应用入站规则，并传递现在被接受的任何保留消息。

claude --permission-mode bypassPermissions

• 如果您接受：Claude Code 在 ~/.claude/settings.json 中将 skipDangerousModePermissionPrompt 设置为 true，因此后续会话会跳过对话框。要再次看到对话框，请从该文件中删除该键或将其设置为 false。skipDangerousModePermissionPrompt 参考列出了您或您的组织可以设置它的其他设置文件。
• 如果您拒绝：Claude Code 退出。

• 如果没有记录接受，claude --bg --permission-mode bypassPermissions 会被拒绝。请先在交互式会话中接受对话框。
• 如果 skipDangerousModePermissionPrompt 仅在 .claude/settings.local.json 中设置，后台会话启动时会忽略绕过请求：
  • 如果 --allow-dangerously-skip-permissions 被忽略，bypassPermissions 不会出现在其 Shift+Tab 循环中。
  • 如果 --permission-mode bypassPermissions 或 --dangerously-skip-permissions 被忽略，会话改为以手动模式启动。
  请将 "skipDangerousModePermissionPrompt": true 添加到 ~/.claude/settings.json，然后启动新的后台会话。

--dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons

​

后台会话中忽略了绕过权限

Bypass permissions was requested at launch and ignored · if that was you, ~/.claude/settings.json needs "skipDangerousModePermissionPrompt": true

​

claude agents 显示交互式会话会跳过的绕过权限警告

​

受保护的路径

• 对于项目的 .claude/ 文件夹：是的，允许 Claude 在此会话中编辑此项目的 .claude 文件夹中的文件
• 对于 ~/.claude/：是的，允许 Claude 在此会话中编辑其 ~/.claude 文件夹中的文件

• .git
• .config/git
• .vscode
• .idea
• .husky
• .cargo
• .devcontainer
• .yarn
• .mvn
• .claude，但有少数例外，例如：
  • Claude 自己位于 .claude/worktrees/ 下的 git worktree
  • 当前会话自己的计划文件，位于 ~/.claude/plans/ 或您设置的 plansDirectory 中
  • 后台会话自己位于 ~/.claude/jobs/<id>/tmp/ 的临时目录
  • 在未使用 --restricted 启动的会话中，项目自动记忆目录（例如 ~/.claude/projects/<project>/memory/）中的 markdown 文件
  • 在未使用 --restricted 启动的会话中，子代理记忆目录（例如 .claude/agent-memory/）中的 markdown 文件
• 使用 --plugin-dir 加载的目录，因为当文件发生更改时，Claude Code 会从该目录重新加载并运行 mod 的代码
• ~/.claude/dev-mods/，或 CLAUDE_CONFIG_DIR 所指向目录中的 dev-mods/，Claude 会将为您编写的 mod 保存在此处

• .gitconfig、.gitmodules
• .bashrc、.bash_profile、.bash_login、.bash_aliases、.bash_logout、.zshrc、.zprofile、.zshenv、.zlogin、.zlogout、.profile、.envrc
• .npmrc、.yarnrc、.yarnrc.yml、.pnp.cjs、.pnp.loader.mjs、.pnpmfile.cjs、bunfig.toml、.bunfig.toml
• .bazelrc、.bazelversion、.bazeliskrc
• .pre-commit-config.yaml、lefthook.yml、lefthook.yaml、.lefthook.yml、.lefthook.yaml
• gradle-wrapper.properties、maven-wrapper.properties
• .devcontainer.json
• .ripgreprc、pyrightconfig.json
• .mcp.json、.claude.json
• remote-settings.json（即您组织的服务器托管设置的存储副本），以及 Claude Code 随其保存的签名、同步和同意文件，位于 ~/.claude 或 CLAUDE_CONFIG_DIR 所指向的目录中
• 您在启动会话时传递给 --settings、--mcp-config 或 --agents 的文件
• 当您的用户、项目或本地设置文件本身是符号链接（例如指向 dotfiles 仓库）时，该设置文件所指向的文件。在将受保护路径写入路由到分类器的模式中，对此文件的写入会改为提示您，即使有允许规则匹配也是如此。如果该文件自身的路径同时也是某个设置文件的路径，例如另一个文件夹中的 .claude/settings.json，则该写入会像其他受保护路径写入一样交由分类器处理

​

关键路径

• 拒绝规则：与命令匹配的拒绝规则会阻止该命令，但您安装的 mod 仍可批准其中部分调用
• 沙箱隔离：沙箱隔离让操作系统限制 Bash 命令可以写入的路径。在沙箱中运行的命令仍可删除您的工作目录
• 严格沙箱模式：默认情况下，在沙箱中运行的命令可以在沙箱外重试，允许规则或 bypassPermissions 模式可以不经提示批准该重试。严格沙箱模式会关闭该重试

​

哪些路径是关键路径

• 文件系统根目录
• 顶级目录，意味着根目录的任何直接子目录，如 /usr、/etc 或 /data
• 您的主目录。在 Windows 上，其 8.3 短名称也计算在内，如 C:\Users\LONGNA~1
• Windows 驱动器根目录及其顶级目录，如 C:\ 和 C:\Windows。\\?\C:\ 和 \\localhost\C$ 等写法均视为 C:\
• 您的工作目录及其父目录
• 您的额外工作目录及其父目录，但仅当移除是其下的 glob 时，如 rm -rf <dir>/*。rm -rf <dir> 在目录本身上不会触发此检查

​

计为关键路径的其他目标

​

嵌套命令和内联脚本中的移除

• 嵌套命令：带有 (...) 的子 shell、带有 { ...; } 的大括号组、带有 $(...) 或反引号的命令替换，或带有 <(...) 的进程替换。Claude Code 找到关键路径移除，无论它位于嵌套形式内部（如 (rm -rf ~) 或 echo "$(rm -rf ~)"），还是位于同一命令中的其他地方。
• 内联脚本：通过 -c 传递给 sh、bash、zsh 或类似 POSIX shell 的脚本，如 bash -c 'rm -rf ~'。
  • 当脚本是双引号时，调用 shell 在内部 shell 接收脚本之前扩展其变量。在 find . -name '*.tmp' -exec sh -c "rm -rf \"$1\"/*" _ {} \; 中，命令对每个匹配扩展为从文件系统根目录的移除，Claude Code 将其视为关键路径移除。
  • 绑定 $1 到真实值的单引号脚本（如 sh -c 'rm -rf "$1"/*' _ {} 所做的）不被标记。

​

重写被标记的命令

• 变量下的 glob 或尾部斜杠，如 $DIR：保护每个扩展，以便当变量未设置或为空时 shell 停止出错，如 rm -rf "${DIR:?}"/*，或使用文字路径。其扩展都以这种方式保护的移除通过此检查，因此在 bypassPermissions 模式下它运行而不提示，除非另一个关键路径检查标记它。
• 通常设置的变量下的 glob 或尾部斜杠，如 $HOME：使用文字路径。
• 从目录打印替换分配的变量：使用文字路径。"${D:?}" 保护不会清除此检查，因为变量不为空。
• 仅命令替换输出的目标：首先自己运行替换，然后移除它打印的文字路径。提示告诉 Claude 做同样的事情。

​

Dangerous rm operation not ruled out 提示

Dangerous rm operation not ruled out — the shell may read this command differently than it was parsed

This command could not be checked for dangerous rm operations: the shell may read it differently than it was parsed.

​

挂载驱动器提示

​

会出现挂载驱动器提示的路径

​

关闭挂载驱动器提示

export CLAUDE_CODE_DISABLE_MOUNTED_DRIVE_RM_PROMPT=1
claude

• 变量位于设置文件中：无论哪种设置文件，Claude Code 都会忽略设置文件 env 块中的该变量，因此请改为在启动 claude 的位置设置该变量
• 会话启动时没有该变量：请从已设置该变量的环境中重新启动 claude，因为正在运行的会话不会读取它

​

关闭挂载驱动器提示后仍会提示的移除

• 目标位于您的工作目录之外：当您在 /Volumes/USB/project 中工作时，rm -rf /Volumes/USB/other 会提示。要停止该提示，请向会话添加包含该目标的目录
• 目标包含 *：rm -rf build/* 会提示。批准该提示即可运行命令，或者让 Claude 不使用 * 逐一指明每个目标
• 目标是关键路径：/mnt 本身和您的工作目录本身仍然是关键路径，因此对其中任一执行 rm -rf 都会提示。批准该提示即可让 rm 运行

​

每个权限模式中的关键路径移除

​

auto 和 bypassPermissions 模式中的时间限制和拒绝

• 如果倒计时在您回答之前用完，Claude Code 拒绝命令并告诉 Claude 改为做什么，以便无人值守的会话继续工作。
• 在提示打开时按任何键停止倒计时并保持提示等待您的回答。
• 在一个会话中这样的提示运行完三次后无人回答，Claude Code 停止显示它们并立即拒绝进一步的关键路径移除。发送新消息会重新开始计数。

• bypassPermissions：终端提示没有时间限制，VS Code 聊天面板会询问您
• auto：由分类器决定，适用于终端、VS Code 聊天面板、-p 运行和 Agent SDK 会话

{
  "claudeCode.environmentVariables": [
    { "name": "CLAUDE_CODE_DISABLE_DANGEROUS_RM_TIMEOUT", "value": "1" }
  ]
}

​

在 bypassPermissions 模式下关闭关键路径移除提示

export CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS=1
claude --permission-mode bypassPermissions

$env:CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS = "1"
claude --permission-mode bypassPermissions

set CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS=1
claude --permission-mode bypassPermissions

​

关于关键路径移除提示的启动通知

• is set, so dangerous rm commands can run without a prompt：托管设置和插件 hook 加载完成后，移除即可不经提示运行。如果移除仍然收到提示或拒绝，请参阅关键路径移除提示为何仍然开启
• has no effect in this session：在整个会话中，移除保持其通常的提示或拒绝。要改变这一点，请在关键路径移除提示为何仍然开启中找到您的情况
• has no effect while the Windows registry cannot be read for managed settings：移除保持其通常的提示或拒绝；如果之后读取注册表成功，该变量无需重启即可生效。如果移除仍然收到提示或拒绝，请参阅关键路径移除提示为何仍然开启

​

关键路径移除提示为何仍然开启

• 其他机制处理权限提示：未配合 --permission-prompts none 使用的 --permission-prompt-tool 或 Agent SDK canUseTool 回调、带有任意匹配器的 PermissionRequest hook，或处理该事件的 mod。移除该 hook、mod、工具或回调，然后重新启动 claude
• 会话由 VS Code 扩展的聊天面板或桌面应用运行：改为在终端中启动 claude，例如 IDE 的集成终端
• 有规则覆盖 Bash、Edit 或 Read：针对其中某个工具的拒绝或询问规则，无论是在启动时存在，还是在会话期间被 Claude Code 读取，即使您之后将其移除也是如此。移除该规则并重新启动 claude。要排除某个工具，请使用 --tools 而不是拒绝规则
• permissions.blockReadsOutsideWorkingDirectories 已开启：从每个将其设置为 true 的设置文件中移除该设置，然后重新启动 claude
• claude 在另一个会话内部运行：从某个会话的 Bash 工具或 hook 启动的 claude，即使其命令行中带有该变量。请从您自己的 shell 启动 claude。不要将这一嵌套会话限制当作安全边界
• PreToolUse hook 对移除返回 ask：更改该 hook 的返回值
• Claude Code 为您启动会话：后台会话、分屏窗格中的 agent team 队友，以及 Remote Control 服务器创建的会话，启动时都不带该变量。请从您自己的 shell 启动 claude
• 无法读取托管设置：Claude Code 尚未成功读取您的托管设置来源。如果服务器托管设置持续加载失败，请参阅Remote managed settings failed to load。对于注册表查询以外的任何其他失败，请联系该来源的管理者进行修复
• 无法查询 Windows 注册表：在 Windows 和 WSL 中，该变量需要从注册表获得应答，即使 WSL 不将其用于设置也是如此。在非英语 Windows、关闭了互操作的 WSL，或 WSL2 内核上的容器中，该查询可能在整个会话中都失败。如果互操作已关闭，请将其开启。否则，请自行运行这些移除

​

PowerShell 中的 Remove-Item

• 系统路径：文件系统根目录及其顶级目录、驱动器根目录及其顶级目录和您的主目录。Claude Code 在每种模式下拒绝命令，不询问您。
• 通配符：裸 * 或任何以 /* 或 \* 结尾的目标，包括 shell 变量下的 glob，如 $dir/*。Claude Code 在每种模式下拒绝命令，不询问您，在分类器看到它之前。
• 您的工作目录或其父目录之一，带有 -Recurse：Claude Code 将命令视为任何其他需要在您的权限模式下批准的命令，因此它在询问的模式下询问您，在 auto 模式下将其发送到分类器，在 dontAsk 模式下拒绝它。bypassPermissions 模式跳过此检查。

​

另请参阅

• 权限：允许、询问和拒绝规则；托管策略
• 配置自动模式：告诉分类器您的组织信任哪些基础设施
• Hooks：通过 PreToolUse 和 PermissionRequest hooks 的自定义权限逻辑
• 安全：保障措施和最佳实践
• 沙箱：Bash 命令的文件系统和网络隔离
• 非交互模式：使用 -p 标志运行 Claude Code