选择权限模式

​

可用的模式

​

任何模式都不会自动批准的操作

• 与显式 询问规则 匹配的工具
• 您的组织 设置为 ask 的连接器工具，在该设置到达 Claude Code 的会话中
• 需要用户交互的工具：内置 AskUserQuestion 工具和标记为 requiresUserInteraction 的 MCP 工具
• rm 和 rmdir 移除针对 关键路径，没有允许规则或 PreToolUse hook "allow" 批准
• 跨会话消息传递保护措施
• 在 permissions.blockReadsOutsideWorkingDirectories 打开时在工作目录外读取：识别的文件读取 Bash 命令和任何需要批准才能在沙箱外运行的 未沙箱化重试，即使在 auto 模式和 bypassPermissions 模式下也会提示。需要 Claude Code v2.1.257 或更高版本。 shell 解析器无法追踪的命令，例如更改目录多次或运行子 shell 的命令，即使在未命名任何外部路径时也会以相同方式提示。当命令在 沙箱 中运行且沙箱强制执行该块时，此提示不适用。

​

常见设置

​

会话在哪个模式下启动

1. --permission-mode 标志或 --dangerously-skip-permissions
2. 设置文件中的 permissions.defaultMode 如果您在 .claude/settings.json 或 .claude/settings.local.json 中设置 "auto"，该值不会生效，Claude Code 然后使用内置默认值而不是来自 ~/.claude/settings.json 的 defaultMode。如果您在这两个文件中设置 "bypassPermissions"，它也不会生效，会话以 Manual 模式启动。其他值从任何设置文件应用。
3. 内置默认值

• 在终端中，一次，在会话顶部
• 在 VS Code 扩展中，作为新对话屏幕上的卡片，保留直到您关闭它

​

以不同的权限模式启动

{
  "permissions": {
    "defaultMode": "default"
  }
}

​

切换权限模式

claude --permission-mode plan

claude remote-control --permission-mode acceptEdits

​

使用 acceptEdits 模式自动批准文件编辑

claude --permission-mode acceptEdits

​

使用 plan mode 在编辑前进行分析

claude --permission-mode plan

​

审查并批准计划

• 是的，并使用自动模式：批准并以自动模式启动。如果自动模式不可用于您的会话，例如因为您的组织关闭了它，此选项读取是的，自动接受编辑。如果您使用启用的绕过权限启动会话，该选项读取是的，并为此会话切换到绕过权限（无进一步提示）。
• 是的，手动批准编辑：批准并逐个审查每个编辑。
• 否，继续规划：保持在 plan mode 并告诉 Claude 要更改什么。

​

将 plan mode 设置为默认值

​

使用自动模式消除权限提示

• 计划：所有计划。
• 组织：在 Team 和 Enterprise 上，自动模式默认可用。管理员可以通过在托管设置中将 permissions.disableAutoMode 设置为 "disable" 来为组织关闭它。
• 模型：在 Anthropic API 和 AWS 上的 Claude Platform 上，Claude Opus 4.6 或更高版本、Sonnet 4.6 或更高版本，或Fable 模型。在 Amazon Bedrock、Google Cloud 的 Agent Platform、Microsoft Foundry 和已登录的Claude 应用网关会话上，仅支持 Claude Sonnet 5、Opus 4.7 或更高版本以及 Fable 模型。较旧的模型，包括 Sonnet 4.5、Opus 4.5、Haiku 和 claude-3 模型，在任何提供商上都不受支持。
• 提供商：在 Anthropic API、AWS 上的 Claude Platform、Amazon Bedrock、Google Cloud 的 Agent Platform、Microsoft Foundry 和已登录的 Claude 应用网关会话上默认可用。

​

Bedrock、Agent Platform 或 Foundry 上的自动模式

​

服务器端分类器审查

• 直接连接到 Anthropic API：在交互式终端会话中，在每个 claude.ai 计划和使用 Claude API 的账户上，随着 Anthropic 推出。在 Pro、Max 和 Team 计划上需要 Claude Code v2.1.271 或更高版本，在 Enterprise 计划和 Claude API 账户上需要 v2.1.278 或更高版本。从 v2.1.282 开始，不获取功能标志的会话，例如因为您关闭了遥测，在任何类型的会话中默认询问服务器。
• 云提供商、LLM 网关或代理：在 AWS 上的 Claude Platform、Amazon Bedrock、Google Cloud 的 Agent Platform 和 Microsoft Foundry 上，以及每当您将 ANTHROPIC_BASE_URL 指向LLM 网关或代理时，无论您的计划如何。默认询问需要 Claude Code v2.1.278 或更高版本。
• 已登录的Claude 应用网关会话：需要 Claude Code v2.1.280 或更高版本

• 服务器不审查会话：响应完成时没有审查结果，或服务器回答它不审查此会话。最常见的原因是 LLM 网关或代理丢弃了审查请求或结果，以及平台、区域或凭证还没有服务器端检查。Claude Code 回退到自己的分类器请求。一旦该回退在会话的其余部分保持，它会在这些请求被计费的账户上显示关于分类器请求费用的通知。
• 服务器对操作没有判决：Claude Code 拒绝该操作而不是运行它未审查。在任何连接上，当响应在审查结果到达之前结束或结果以 Claude Code 无法读取的形式到达时，会发生这种情况。LLM 网关或代理可能会导致响应被截断或结果被重写。在直接连接到 Anthropic API 时，当服务器对操作的检查失败时也会发生，例如超时。服务器返回了没有安全判决涵盖拒绝消息、拒绝重复时会发生什么以及处理方法。

​

分类器默认阻止的内容

• 下载和执行代码，如 curl | bash
• 向外部端点发送敏感数据
• 生产部署和迁移
• 云存储上的大规模删除
• 授予 IAM 或仓库权限
• 修改共享基础设施
• 不可逆地销毁会话前存在的文件
• 强制推送
• 提交或推送会在运行时向仓库外发送秘密或敏感数据的更改，或扩大部署公开的内容。这涵盖了将秘密交给不已接收它的目标的 CI 工作流或部署配置、读取秘密存储并发送数据的脚本或设置步骤，以及扩大部署发布内容的配置更改，例如注册表、可见性、工件或源映射设置。检查适用于任何分支，即使仓库是公开的也适用，并在更改落地时触发，无论该落地是否触发管道；清除它需要命名执行效果，而不仅仅是提交或推送。在 v2.1.211 之前，此检查的范围仅限于默认分支：推送到那里时，如果携带敏感内容、相对于您要求的隐藏或误描述的更改、从仓库外移植的内容或绕过您要求的审查的内容，则被阻止
• git reset --hard、git checkout -- .、git restore .、git clean -fd、git stash drop 或 git stash clear，分类器假设这会丢弃未提交的更改
• 当 HEAD 处的提交不是在此会话中创建时的 git commit --amend
• 从 v2.1.198 开始，当 HEAD 处的提交已被推送时的 git commit --amend。仅消息改写不被阻止：--amend -m 在没有新暂存内容的情况下，对于 Claude 在此会话期间创建的提交
• terraform destroy、pulumi destroy、cdk destroy 或 terragrunt destroy，以及应用销毁资源的计划

• 写入秘密管理器，或更改 DNS 记录或 TLS 证书
• 合并没有人类批准的拉取请求、批准 Claude 自己的拉取请求或禁用 CI 检查
• 发布本身是自动化命令的评论，例如 atlantis apply 或机器人的 /deploy 或 /merge
• 切换、调整或删除生产功能标志
• 将基础设施更改应用于受保护的 IaC 范围，或排空和删除集群节点
• 对共享计算集群的写入超出您命名的资源，例如标签选择器或 --all 捕获其他用户的作业
• 创建在每个节点上运行或拦截集群流量的 Kubernetes 资源，例如 DaemonSets 和准入 webhooks
• 交互式 shell 或端口转发到敏感的远程目标
• 打开隧道或反向 shell，使本地服务可从公网访问
• 将实时凭证或令牌打印到记录或文件中
• 访问在您的环境中列为敏感数据位置的位置，或从其中复制数据。从 v2.1.198 开始，这也会阻止从一个位置向条目排除的受众发送数据
• 绕过您的内部包注册表路由包安装到公开注册表。从 v2.1.198 开始，这也适用于您在对话中告诉 Claude 存在内部注册表或镜像的情况，而不仅仅是在您的环境中列出的情况
• 使用禁用安全防护的标志运行命令，如 --insecure
• 启动在没有人类批准或沙箱的情况下运行的自主代理循环，例如使用 --dangerously-skip-permissions 或 --no-sandbox 启动的循环。从 v2.1.198 开始，这也涵盖运行禁用隔离和按操作批准的第三方代理或评估工具，例如使用 --yes-always 启动的运行器
• Chrome 中的 Claude浏览器操作可能会向外源发送页面内容、cookie 或凭证

• 通过通配符、glob 或年龄过滤器而不是特定命名路径删除 /tmp、$TMPDIR 或其他共享暂存或缓存目录中的文件
• 在您自己的消息未授权这些详细信息给该收件人时，在发送、上传、发布或写入给其他人或共享系统的内容中包含敏感详细信息。当仓库在信任边界外或公开时，PR 和问题正文、提交消息和评论计为这种类型的出站内容，包括您组织自己的公开仓库；内部文件路径、代码名称、实时 API 响应数据（如电子邮件或账户标识符）和基础设施标识符计为敏感详细信息。PR、问题和提交消息范围需要 Claude Code v2.1.200 或更高版本。PR 或问题正文中的实时个人数据（如电子邮件地址、账户或组织标识符或使用指标）需要您命名这些详细信息和收件人，无论仓库的可见性或信任边界如何。该检查需要 Claude Code v2.1.203 或更高版本
• 向 Claude Code 自己的 tmux 窗格发送按键以驱动其自己的界面，分类器将其视为 Claude 更改自己的权限或监督

• 注释掉、删除或强制通过保护安全行为的测试或断言，例如身份验证、访问控制、输入验证或沙箱
• 删除或拆除 Claude 在会话中未创建的有状态资源，当没有更具体的删除规则适用且您未命名该资源时
• 在不适合任务的第三方主机处重新指向 API 基础 URL、代理端点、webhook 接收器或注册表镜像，包括在 .env.example 等示例文件中
• 使用 git remote set-url 或 git remote add 更改推送去向，除非您命名了新远程
• 推送秘密或个人或受信任的数据到已知为公开的仓库，或推送不属于该仓库自己工作的机密材料。dotfiles 仓库自己的主题是个人或受信任数据的唯一例外，来自私有仓库到任何公开表面的内容以相同方式被阻止；两项改进都需要 Claude Code v2.1.203 或更高版本。在 v2.1.203 之前，个人数据与机密材料分组，仅当它不属于该仓库自己的工作时才被阻止。当仓库的可见性未确定时，分类器不会仅凭这一点就阻止；它改为根据其他规则判断内容
• 针对不同的仓库或组织打开拉取请求、使用 gh repo fork 进行分叉或推送到第三方仓库，除非您命名了该外部目标

• 来自敏感本地存储或其名称、路径或类型将其标记为敏感的文件的内容进入提交、推送、PR 或问题文本、gist 或粘贴或包发布，除非您命名了源和目标。会话记录和对话日志、凭证和配置点文件夹（如 SSH 密钥、云凭证、浏览器配置文件和 shell 历史记录）以及用户数据导出都计为此，仓库是私有的不会清除它

• 写入 Claude Code 会话记录，即 ~/.claude/projects/ 或您配置的配置目录下的 .jsonl 历史文件，无论是直接还是通过 shell 命令。该规则也涵盖 Claude Code 为其自己的检查附加到每个记录条目的元数据行。读取记录不被阻止
• 递归强制删除，例如 rm -rf "$VAR" 或 Remove-Item -Recurse -Force $dir，其目标是分类器看不到在对话中任何地方分配的 shell 变量，或以一个为根的 glob。该值仅来自较早的命令输出，分类器从不接收，因此分类器无法根据其他删除规则验证删除目标。当您命名被删除的确切路径或 Claude 使用解析的文字路径写入的命令重新运行删除时，该块会清除。目标分类器可以解析的删除不受影响。目标是裸 * 或以 /* 或 \* 结尾的 Remove-Item 目标永远不会到达分类器：Claude Code 直接拒绝它们

• 从云实例元数据端点请求凭证，例如 169.254.169.254，或使用机器自己的服务账户或节点身份显式验证云、集群或注册表调用
• 通过直接请求以外的路由到达公开主机，例如隧道、反向 shell 或重写为指向外部的解析器或代理配置
• 读取属于主机而不是您的任务的凭证，例如节点证书或节点的容器注册表身份验证
• 连接到或扫描 Claude 未启动的同级容器、pod 或 VM，或容器下的节点

• 在消息、PR 或问题文本、文档或链接将被打开或获取的任何其他地方发布或写入公开粘贴、图表或数据共享服务的链接，当 URL 本身携带被共享的内容时，除非您命名了该服务

• 工作目录中的本地文件操作
• 安装在您的锁定文件或清单中声明的依赖项
• 读取 .env 并向其匹配的 API 发送凭证
• 只读 HTTP 请求
• 推送到您正在处理的仓库的任何分支，包括默认分支。其名称将其标记为部署或发布目标的非默认分支，例如 production 或 gh-pages，不被涵盖：分类器根据其自己的条款判断推送到那里。推送的内容仍然根据其他规则进行检查，permissions.deny 规则仍然可以在每种模式中按书写阻止推送命令，远程自己的分支保护仍然适用。在 v2.1.211 之前，仅允许推送到您启动的分支、Claude 创建的分支和到默认分支的常规推送，在 v2.1.203 之前任何直接推送到默认分支都被阻止

• 删除 Claude 在同一会话中较早创建的确切作业
• 作为您的任务的一部分读取、审查或编写与安全相关的代码、配置和威胁模型
• 在同一多代理会话中一起工作的代理之间的消息
• 向您在 environment 中列出的受信任域、存储桶和服务发送数据。这仅涵盖数据流，不涵盖同一基础设施上的破坏性或凭证操作
• Chrome 中的 Claude导航到受信任的内部域、localhost 或您命名的 URL

​

工作目录外的第一次读取

• 继续允许：读取运行，工作目录外的后续读取照常运行，Claude Code 记录您的答案，以便提示不再出现
• 从现在开始阻止：读取被拒绝，Claude Code 在您的用户设置中将 permissions.blockReadsOutsideWorkingDirectories 设置为 true，这使文件工具在每个后续会话和每种权限模式中拒绝此类读取。要稍后让 Claude 读取此类路径，请使用 /add-dir 添加其目录或删除该设置。
• 下次再问：读取被拒绝，工作目录外的下一次读取再次提示

​

您在对话中陈述的边界

​

您在对话中陈述的批准

• 命名操作及其具体情况：您的消息必须命名操作和使其危险的具体事项，例如强制推送的分支。仅命名动词不会清除任何内容，因此”您可以强制推送”会使阻止保持原位。
• 期望它涵盖一个操作：批准涵盖您命名的破坏性操作，因此后续操作会再次被阻止，除非您将批准授予为常设。要停止一次一个地批准常规模式，请将其添加到 autoMode.allow。
• 某些阻止保持原位：分类器的优先级顺序规定了您的批准可以到达哪些阻止。要运行它不会清除的步骤，离开自动模式并回答权限提示。

​

自动模式何时回退

• 被阻止的操作：Claude Code 显示通知并在 /permissions 下的最近拒绝选项卡中列出操作，您可以按 r 使用手动批准重试它。当分类器对操作没有判决时，因为分类器自己的请求的单独安全检查拒绝了它或其响应未解析，Claude Code 拒绝该操作而不显示通知或最近拒绝条目。
• 重复阻止：如果分类器连续阻止操作 3 次或总共 20 次，自动模式暂停，Claude Code 恢复提示。批准提示的操作会恢复自动模式。这些阈值不可配置。任何允许的操作重置连续计数器，而总计数器在会话中持续，仅在其自己的限制触发回退时重置。当分类器自己的请求的单独安全检查拒绝时，Claude Code 不计算拒绝到任一阈值；链接的条目涵盖 Claude Code 如何处理这些拒绝。
• 无法提示的会话：非交互式 -p 运行没有 --permission-prompt-tool 没有回退提示。当重复阻止达到阈值时，操作不运行，Claude 继续工作。当分类器自己的请求的单独安全检查拒绝时也适用相同情况。Claude Code 在任一情况下都不停止运行。
• 服务器没有判决：在服务器端分类器审查下，Claude Code 拒绝服务器没有判决的操作，并在连续十个响应没有判决后停止该轮。请参阅服务器返回了没有安全判决。
• 检查期间的模式切换：如果您在分类器检查待处理时切换权限模式，Claude Code 会丢弃新模式不会请求的判决，而不是应用它：您改为被提示批准，或在 dontAsk 模式中操作被自动拒绝。

​

使用 dontAsk 模式仅允许预先批准的工具

claude --permission-mode dontAsk

​

使用 bypassPermissions 模式跳过所有检查

• isolatePeerMachines批准提示用于发送到超出此机器的会话的消息仍然出现。
• 当没有crossSessionInbound值适用时，Claude Code 会从您的另一个会话中的入站消息保留以供您批准，仅当发送会话将自己标识为也绕过权限提示时才无需询问即可传递。如果您在保留消息时离开权限模式，Claude Code 会重新应用入站规则，并传递任何现在接受的保留消息。

claude --permission-mode bypassPermissions

--dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons

​

受保护的路径

• .git
• .config/git
• .vscode
• .idea
• .husky
• .cargo
• .devcontainer
• .yarn
• .mvn
• .claude，除了 .claude/worktrees，Claude 在其中存储自己的 git worktrees

• .gitconfig、.gitmodules
• .bashrc、.bash_profile、.bash_login、.bash_aliases、.bash_logout、.zshrc、.zprofile、.zshenv、.zlogin、.zlogout、.profile、.envrc
• .npmrc、.yarnrc、.yarnrc.yml、.pnp.cjs、.pnp.loader.mjs、.pnpmfile.cjs、bunfig.toml、.bunfig.toml
• .bazelrc、.bazelversion、.bazeliskrc
• .pre-commit-config.yaml、lefthook.yml、lefthook.yaml、.lefthook.yml、.lefthook.yaml
• gradle-wrapper.properties、maven-wrapper.properties
• .devcontainer.json
• .ripgreprc、pyrightconfig.json
• .mcp.json、.claude.json

​

关键路径

• 文件系统根目录
• 顶级目录，意味着根目录的任何直接子目录，如 /usr、/etc 或 /data
• 您的主目录
• Windows 驱动器根目录及其顶级目录，如 C:\ 和 C:\Windows
• 您的工作目录及其父目录
• 您的额外工作目录及其父目录，但仅当移除是其下的 glob 时，如 rm -rf <dir>/*。rm -rf <dir> 在目录本身上不会触发此检查

• 对于诸如 $DIR 之类的变量，保护每个扩展，以便当变量未设置或为空时 shell 停止出错，如 rm -rf "${DIR:?}"/*，或使用文字路径
• 对于通常设置的变量，如 $HOME，使用文字路径

​

PowerShell 中的 Remove-Item

• 系统路径：文件系统根目录及其顶级目录、驱动器根目录及其顶级目录和您的主目录。Claude Code 在每种模式下拒绝命令，不询问您。
• 通配符：裸 * 或任何以 /* 或 \* 结尾的目标，包括 shell 变量下的 glob，如 $dir/*。Claude Code 在每种模式下拒绝命令，不询问您，在分类器看到它之前。
• 您的工作目录或其父目录之一，带有 -Recurse：Claude Code 将命令视为任何其他需要在您的权限模式下批准的命令，因此它在询问的模式下询问您，在 auto 模式下将其发送到分类器，在 dontAsk 模式下拒绝它。bypassPermissions 模式跳过此检查。

​

另请参阅

• 权限：允许、询问和拒绝规则；托管策略
• 配置自动模式：告诉分类器您的组织信任哪些基础设施
• Hooks：通过 PreToolUse 和 PermissionRequest hooks 的自定义权限逻辑
• 安全：保障措施和最佳实践
• 沙箱：Bash 命令的文件系统和网络隔离
• 非交互模式：使用 -p 标志运行 Claude Code