選擇權限模式

​

可用的模式

​

切換權限模式

claude --permission-mode plan

{
  "permissions": {
    "defaultMode": "acceptEdits"
  }
}

{
  "permissions": {
    "defaultMode": "plan"
  }
}

claude remote-control --permission-mode acceptEdits

​

使用 acceptEdits 模式自動批准檔案編輯

claude --permission-mode acceptEdits

​

使用計畫模式在編輯前進行分析

claude --permission-mode plan

​

檢視並核准計畫

• 核准並在自動模式中開始
• 核准並接受編輯
• 核准並手動檢視每項編輯
• 透過回饋繼續規劃
• 使用 Ultraplan 進行瀏覽器型檢視以進行精煉

​

將計畫模式設定為預設值

{
  "permissions": {
    "defaultMode": "plan"
  }
}

​

使用自動模式消除權限提示

• 方案：所有方案。
• 擁有者：在 Team 和 Enterprise 上，擁有者必須在 Claude Code 管理員設定中啟用它，使用者才能開啟。管理員也可以通過在受管設定中將 permissions.disableAutoMode 設定為 "disable" 來關閉自動模式。對於桌面應用程式的 Code 標籤，disableAutoMode 是組織級控制，管理員設定切換不適用。
• 模型：在 Anthropic API 上，Claude Opus 4.6 或更新版本，或 Sonnet 4.6 或更新版本。在 Amazon Bedrock、Google Cloud 的 Agent Platform、Microsoft Foundry 和已登入的 Claude 應用程式閘道工作階段上，僅支援 Claude Sonnet 5、Opus 4.7 和 Opus 4.8。較舊的模型，包括 Sonnet 4.5、Opus 4.5、Haiku 和 claude-3 模型，在任何提供者上都不受支援。
• 提供者：在 Anthropic API、Amazon Bedrock、Google Cloud 的 Agent Platform、Microsoft Foundry 和已登入的 Claude 應用程式閘道工作階段上預設可用。在 v2.1.158 到 v2.1.206 中，自動模式在除了 Anthropic API 之外的所有這些提供者上都是關閉的，直到您設定 CLAUDE_CODE_ENABLE_AUTO_MODE=1；v2.1.207 移除了該要求。

​

Bedrock、Agent Platform 或 Foundry 上的自動模式

​

分類器預設阻止的內容

• 下載並執行程式碼，例如 curl | bash
• 將敏感資料傳送到外部端點
• 生產部署和遷移
• 雲端儲存上的大量刪除
• 授予 IAM 或儲存庫權限
• 修改共享基礎設施
• 不可逆地銷毀工作階段前存在的檔案
• 強制推送
• 當推送包含敏感內容（如祕密或個人或受託資料）、包含相對於您要求的隱藏或誤述的變更、包含從儲存庫外部移植或首次讀取的內容，或繞過您要求的拉取請求、審查或檢查時，推送到儲存庫的預設分支。純粹推送到預設分支本身不會被阻止，清除標記的推送需要命名標記的內容或繞過的審查，而不僅僅是推送。分類器是一層：permissions.deny 規則適用於每種模式，可以完全阻止推送到預設分支，遠端自己的分支保護仍然適用。在 v2.1.203 之前，任何直接推送到預設分支都被阻止
• git reset --hard、git checkout -- .、git restore .、git clean -fd、git stash drop 或 git stash clear，分類器假設會丟棄未提交的變更
• 當 HEAD 的提交不是在此工作階段中建立時的 git commit --amend
• 從 v2.1.198 開始，當 HEAD 的提交已經被推送時的 git commit --amend。僅訊息重述不被阻止：--amend -m 沒有新暫存的內容，在 Claude 在此工作階段期間建立的提交上
• terraform destroy、pulumi destroy、cdk destroy 或 terragrunt destroy，以及應用銷毀資源的計畫

• 寫入祕密管理器，或更改 DNS 記錄或 TLS 憑證
• 合併沒有人類批准的拉取請求、批准 Claude 自己的拉取請求或禁用 CI 檢查
• 發佈本身是自動化命令的評論，例如 atlantis apply 或機器人的 /deploy 或 /merge
• 切換、調整或刪除生產功能標誌
• 將基礎設施變更應用於受保護的 IaC 範圍，或排空並移除叢集節點
• 寫入超出您命名的資源的共享計算叢集，例如標籤選擇器或 --all 捕捉其他使用者的工作
• 建立在每個節點上執行或攔截叢集流量的 Kubernetes 資源，例如 DaemonSets 和准入 webhooks
• 互動式 shell 或埠轉發到敏感遠端目標
• 開啟隧道或反向 shell，使本地服務可從公共網際網路存取
• 將即時認證或令牌列印到文字記錄或檔案
• 存取在您的環境中列為敏感資料位置的位置，或從中複製資料。從 v2.1.198 開始，這也會阻止從一個位置向該條目排除的受眾傳送資料
• 繞過您的內部套件登錄將套件安裝路由到公共登錄。從 v2.1.198 開始，這也適用於您在對話中告訴 Claude 內部登錄或鏡像存在的情況，而不僅僅是在您的環境中列出的情況
• 使用禁用安全防護的標誌執行命令，例如 --insecure
• 啟動在沒有人類批准或沙箱的情況下執行的自主代理迴圈，例如使用 --dangerously-skip-permissions 或 --no-sandbox 啟動的迴圈。從 v2.1.198 開始，這也涵蓋執行禁用隔離和每操作批准的第三方代理或評估工具，例如使用 --yes-always 啟動的執行器
• Chrome 中的 Claude瀏覽器操作，可能會將頁面內容、Cookie 或認證傳送到跨源

• 通過萬用字元、glob 或年齡篩選器而不是特定命名路徑刪除 /tmp、$TMPDIR 或其他共享暫存或快取目錄中的檔案
• 當您自己的訊息未授權這些詳細資訊給該收件人時，在傳送、上傳、發佈或寫入其他人或共享系統的內容中包含敏感詳細資訊。當儲存庫在信任邊界外或公開時，PR 和問題正文、提交訊息和評論算作這種類型的出站內容，包括您組織自己的公開儲存庫；內部檔案路徑、代碼名稱、即時 API 回應資料（如電子郵件或帳戶識別碼）和基礎設施識別碼算作敏感詳細資訊。PR、問題和提交訊息範圍需要 Claude Code v2.1.200 或更新版本。PR 或問題正文中的即時個人資料（如電子郵件地址、帳戶或組織識別碼或使用指標）需要您命名這些詳細資訊和收件人，無論儲存庫的可見性或信任邊界如何。該檢查需要 Claude Code v2.1.203 或更新版本
• 向 Claude Code 自己的 tmux 窗格傳送按鍵以驅動其自己的介面，分類器將其視為 Claude 更改自己的權限或監督

• 註解掉、刪除或強制通過保護安全行為的測試或斷言，例如驗證、存取控制、輸入驗證或沙箱
• 刪除或拆除 Claude 在工作階段中未建立的有狀態資源，當沒有更具體的刪除規則適用且您未命名該資源時
• 將 API 基礎 URL、代理端點、webhook 接收器或登錄鏡像重新指向不適合任務的第三方主機，包括在 .env.example 等範例檔案中
• 使用 git remote set-url 或 git remote add 更改推送的去向，除非您命名了新遠端
• 推送祕密或個人或受託資料到已知為公開的儲存庫，或推送不是該儲存庫自己工作一部分的機密材料。dotfiles 儲存庫自己的主題是個人或受託資料的唯一例外，來自私有儲存庫到任何公開表面的內容以相同方式被阻止；兩項改進都需要 Claude Code v2.1.203 或更新版本。在 v2.1.203 之前，個人資料與機密材料分組，僅當它不是該儲存庫自己工作的一部分時才被阻止。當儲存庫的可見性未確定時，分類器不會單獨阻止；它改為根據其他規則判斷內容
• 針對不同儲存庫或組織開啟拉取請求、使用 gh repo fork 進行分叉或推送到第三方儲存庫，除非您命名了該外部目標

• 來自敏感本地儲存或其名稱、路徑或類型將其標記為敏感的檔案的內容進入提交、推送、PR 或問題文字、gist 或貼上或套件發佈，除非您命名了來源和目的地。工作階段文字記錄和對話日誌、認證和配置點資料夾（如 SSH 金鑰、雲端認證、瀏覽器設定檔和 shell 歷史記錄）以及使用者資料匯出都算作，儲存庫為私有不會清除它

• 寫入 Claude Code 工作階段文字記錄、~/.claude/projects/ 下的 .jsonl 歷史檔案或您配置的配置目錄，無論是直接還是通過 shell 命令。該規則也涵蓋 Claude Code 為其自己的檢查附加到每個文字記錄條目的中繼資料行。文字記錄是 Claude Code 寫入的工作階段狀態，而不是工作檔案，篡改的條目在您恢復工作階段後到達每個後續檢查，因此自動模式作為深度防禦阻止這些寫入。讀取文字記錄不被阻止
• 遞迴強制刪除，例如 rm -rf "$VAR" 或 Remove-Item -Recurse -Force $dir，其目標是 shell 變數或以其為根的 glob，在分類器看到的對話中的任何地方都未指派。該值僅來自較早的命令輸出，分類器永遠不會收到，因此分類器無法根據其他刪除規則驗證刪除目標。分類器根據設計讀取對話而不是命令輸出，因此它阻止呼叫而不是猜測目標。當您命名被刪除的確切路徑或 Claude 使用寫入命令的已解析文字路徑重新執行刪除時，該阻止會清除。分類器可以解析其目標的刪除不受影響

• 您工作目錄中的本地檔案操作
• 安裝在您的鎖定檔案或清單中宣告的依賴項
• 讀取 .env 並將認證傳送到其匹配的 API
• 唯讀 HTTP 請求
• 推送到您啟動的分支或 Claude 建立的分支
• 例行推送到儲存庫預設分支。在 v2.1.203 之前，任何直接推送到預設分支都被阻止

• 刪除 Claude 在同一工作階段中較早建立的確切工作
• 作為您的任務的一部分讀取、審查或編寫安全相關程式碼、配置和威脅模型
• 在同一多代理工作階段中一起工作的代理之間的訊息
• 將資料傳送到您在 environment中列出的受信任網域、儲存桶和服務。這僅涵蓋資料流，而不是相同基礎設施上的破壞性或認證操作
• Chrome 中的 Claude導航到受信任的內部網域、localhost 或您命名的 URL

• 允許被重複使用，直到新內容進入對話，此時該主機被再次檢查
• 在互動式 CLI 中，拒絕在輪次結束時被丟棄
• 在非互動式模式和 Agent SDK 工作階段中沒有輪次邊界，因此拒絕在執行的其餘部分被重複使用
• 更改您的權限模式或規則會丟棄所有快取判決

​

您在對話中陳述的邊界

​

自動模式何時回退

​

使用 dontAsk 模式僅允許預先核准的工具

claude --permission-mode dontAsk

​

使用 bypassPermissions 模式跳過所有檢查

claude --permission-mode bypassPermissions

--dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons

​

受保護的路徑

• .git
• .config/git
• .vscode
• .idea
• .husky
• .cargo
• .devcontainer
• .yarn
• .mvn
• .claude，除了 .claude/worktrees 其中 Claude 儲存其自身的 git worktrees

• .gitconfig、.gitmodules
• .bashrc、.bash_profile、.bash_login、.bash_aliases、.bash_logout、.zshrc、.zprofile、.zshenv、.zlogin、.zlogout、.profile、.envrc
• .npmrc、.yarnrc、.yarnrc.yml、.pnp.cjs、.pnp.loader.mjs、.pnpmfile.cjs、bunfig.toml、.bunfig.toml
• .bazelrc、.bazelversion、.bazeliskrc
• .pre-commit-config.yaml、lefthook.yml、lefthook.yaml、.lefthook.yml、.lefthook.yaml
• gradle-wrapper.properties、maven-wrapper.properties
• .devcontainer.json
• .ripgreprc、pyrightconfig.json
• .mcp.json、.claude.json

​

另請參閱

• Permissions：allow、ask 和 deny 規則；受管理的原則
• Configure auto mode：告訴分類器您的組織信任哪些基礎設施
• Hooks：透過 PreToolUse 和 PermissionRequest hooks 的自訂權限邏輯
• Ultraplan：在 Claude Code 網頁工作階段中執行計畫模式，並進行瀏覽器型審查
• Security：保護措施和最佳實踐
• Sandboxing：Bash 命令的檔案系統和網路隔離
• Non-interactive mode：使用 -p 旗標執行 Claude Code