選擇權限模式

​

可用的模式

​

任何模式都不會自動批准的操作

• 符合明確詢問規則的工具
• 您的組織設定為 ask 的連接器工具，在該設定到達 Claude Code 的工作階段中
• 需要使用者互動的工具：內建的 AskUserQuestion 工具和標記為 requiresUserInteraction 的 MCP 工具
• rm 和 rmdir 移除針對關鍵路徑，沒有允許規則或 PreToolUse hook "allow" 批准
• 跨工作階段訊息保護措施
• 當 permissions.blockReadsOutsideWorkingDirectories 開啟時，在工作目錄外讀取：已識別的檔案讀取 Bash 命令即使在自動模式和 bypassPermissions 模式中也會提示，任何未沙箱化的重試需要批准才能在沙箱外執行也是如此。需要 Claude Code v2.1.257 或更新版本。 殼層解析器無法追蹤的命令，例如變更目錄超過一次或執行子殼層的命令，即使在命名沒有外部路徑時也會以相同方式提示。當命令在沙箱中執行且沙箱強制執行該區塊時，此提示不適用。

​

常見設定

​

工作階段在哪個模式中啟動

1. --permission-mode 旗標或 --dangerously-skip-permissions
2. 設定檔中的 permissions.defaultMode 如果您在 .claude/settings.json 或 .claude/settings.local.json 中設定 "auto"，該值不會生效，Claude Code 會改為使用內建預設值而不是來自 ~/.claude/settings.json 的 defaultMode。如果您在這兩個檔案中設定 "bypassPermissions"，它也不會生效，工作階段會以 Manual 模式啟動。其他值適用於任何設定檔。
3. 內建預設值

• 在終端中，一次，在工作階段頂部
• 在 VS Code 擴充功能中，作為新對話螢幕上的卡片，直到您關閉它

​

以不同的權限模式啟動

{
  "permissions": {
    "defaultMode": "default"
  }
}

​

切換權限模式

claude --permission-mode plan

claude remote-control --permission-mode acceptEdits

​

使用 acceptEdits 模式自動批准檔案編輯

claude --permission-mode acceptEdits

​

使用 Plan Mode 在編輯前進行分析

• 具有可用略過權限的互動式終端機工作階段：分類器和提示都不適用於規劃命令。使用 bypassPermissions Mode 略過所有檢查涵蓋了仍在該處提示的少數事項。
• 自動模式可用且 useAutoModeDuringPlan 設定已開啟，預設為開啟：分類器會檢查 shell 命令（關鍵路徑移除除外），而不是提示您。已核准的命令會執行，被拒絕的命令會被阻止。
• 自動模式不可用，或 useAutoModeDuringPlan 關閉：內建唯讀集合之外的命令會提示您核准，包括當沙箱的自動允許模式已啟用時。

claude --permission-mode plan

​

檢查並核准計畫

• 是的，並使用自動模式：核准並開始使用自動模式。如果自動模式對您的工作階段不可用，例如因為您的組織關閉了它，此選項會顯示為是的，自動接受編輯。如果您使用啟用的略過權限開始工作階段，該選項會改為顯示是的，並為此工作階段切換到 BYPASS PERMISSIONS（無進一步提示）。
• 是的，手動核准編輯：核准並逐個檢查每個編輯。
• 否，繼續規劃：保持在 Plan Mode 並告訴 Claude 要變更什麼。

​

將 Plan Mode 設定為預設值

​

使用自動模式消除權限提示

• 計畫：所有計畫。
• 組織：在 Team 和 Enterprise 上，自動模式預設可用。管理員可以通過在受管設定中將 permissions.disableAutoMode 設定為 "disable" 來為組織關閉它。
• 模型：在 Anthropic API 和 AWS 上的 Claude Platform 上，Claude Opus 4.6 或更新版本、Sonnet 4.6 或更新版本，或Fable 模型。在 Amazon Bedrock、Google Cloud 的 Agent Platform、Microsoft Foundry 和已登入的 Claude 應用程式閘道工作階段上，僅限 Claude Sonnet 5、Opus 4.7 或更新版本以及 Fable 模型。較舊的模型，包括 Sonnet 4.5、Opus 4.5、Haiku 和 claude-3 模型，在任何提供者上都不受支援。
• 提供者：在 Anthropic API、AWS 上的 Claude Platform、Amazon Bedrock、Google Cloud 的 Agent Platform、Microsoft Foundry 和已登入的 Claude 應用程式閘道工作階段上預設可用。

​

Bedrock、Agent Platform 或 Foundry 上的自動模式

​

伺服器端分類器審查

• 直接連接到 Anthropic API：在互動式終端工作階段中，在每個 claude.ai 計畫和使用 Claude API 的帳戶上，隨著 Anthropic 推出。在 Pro、Max 和 Team 計畫上需要 Claude Code v2.1.271 或更新版本，在 Enterprise 計畫和 Claude API 帳戶上需要 v2.1.278 或更新版本。從 v2.1.282 開始，不獲取功能旗標的工作階段，例如因為您關閉了遙測，在任何類型的工作階段中預設詢問伺服器。
• 雲端提供者、LLM 閘道或代理：在 AWS 上的 Claude Platform、Amazon Bedrock、Google Cloud 的 Agent Platform 和 Microsoft Foundry 上，以及每當您將 ANTHROPIC_BASE_URL 指向LLM 閘道或代理時，無論您的計畫如何。預設詢問需要 Claude Code v2.1.278 或更新版本。
• 已登入的 Claude 應用程式閘道工作階段：需要 Claude Code v2.1.280 或更新版本

• 伺服器不審查工作階段：回應完成時沒有審查結果，或伺服器回答它不審查此工作階段。最常見的原因是 LLM 閘道或代理丟棄審查請求或結果，以及平台、區域或認證還沒有伺服器端檢查。Claude Code 回退到自己的分類器請求。一旦該回退在工作階段的其餘部分保持，它會在這些請求被計費的帳戶上顯示關於分類器請求費用的通知。
• 伺服器對操作沒有給出判決：Claude Code 拒絕操作而不是未經審查地執行它。在任何連接上，當回應在審查結果到達前結束或結果以 Claude Code 無法讀取的形式到達時會發生這種情況。丟棄回應或重寫結果的 LLM 閘道或代理可能導致任一情況。在直接連接到 Anthropic API 時，當伺服器對操作的檢查失敗時也會發生，例如超時。伺服器未返回安全判決涵蓋拒絕訊息、拒絕重複時發生的情況以及應對方法。

​

分類器預設阻止的內容

• 下載並執行程式碼，例如 curl | bash
• 將敏感資料傳送到外部端點
• 生產部署和遷移
• 雲端儲存上的大量刪除
• 授予 IAM 或儲存庫權限
• 修改共享基礎設施
• 不可逆地銷毀工作階段前存在的檔案
• 強制推送
• 提交或推送會在執行時將秘密或敏感資料傳送到儲存庫外的變更，或擴大部署公開的內容。這涵蓋將秘密傳遞到尚未接收它的目的地的 CI 工作流程或部署配置、讀取秘密存儲並傳送資料的指令碼或設定步驟，以及擴大部署發佈內容的配置變更，例如登錄、可見性、成品或來源地圖設定。檢查適用於任何分支，即使儲存庫是公開的也適用，並在提交或推送時觸發，無論該提交或推送是否觸發管道；清除它需要命名執行效果，而不僅僅是提交或推送。在 v2.1.211 之前，此檢查的範圍限於預設分支：推送到那裡時，如果它攜帶敏感內容、相對於您要求的隱藏或誤述的變更、從儲存庫外移植的內容或繞過您要求的審查的內容，則被阻止
• git reset --hard、git checkout -- .、git restore .、git clean -fd、git stash drop 或 git stash clear，分類器推測會丟棄未提交的變更
• git commit --amend 當 HEAD 的提交不是在此工作階段中建立的
• 從 v2.1.198 開始，git commit --amend 當 HEAD 的提交已經被推送時。僅訊息重述不被阻止：--amend -m 沒有新暫存的內容，在 Claude 在此工作階段期間建立的提交上
• terraform destroy、pulumi destroy、cdk destroy 或 terragrunt destroy，以及應用銷毀資源的計畫

• 寫入秘密管理器，或變更 DNS 記錄或 TLS 憑證
• 合併沒有人類批准的拉取請求、批准 Claude 自己的拉取請求或禁用 CI 檢查
• 發佈本身是自動化命令的評論，例如 atlantis apply 或機器人的 /deploy 或 /merge
• 切換、調整或刪除生產功能旗標
• 將基礎設施變更應用於受保護的 IaC 範圍，或排空並移除叢集節點
• 寫入超出您命名的資源的共享計算叢集，例如標籤選擇器或 --all 捕捉其他使用者的工作
• 建立在每個節點上執行或攔截叢集流量的 Kubernetes 資源，例如 DaemonSets 和准入 Webhooks
• 互動式殼層或連接埠轉發到敏感遠端目標
• 開啟隧道或反向殼層使本地服務可從公開網際網路到達
• 將即時認證或權杖列印到文字記錄或檔案中
• 存取在您的環境中列為敏感資料位置的位置，或從其中複製資料。從 v2.1.198 開始，這也會阻止從一個傳送資料到該條目排除的對象
• 繞過您的內部套件登錄將套件安裝路由到公開登錄。從 v2.1.198 開始，當您在對話中告訴 Claude 內部登錄或鏡像存在時，這也適用，而不僅僅是在您的環境中列出時
• 使用禁用安全防護的旗標執行命令，例如 --insecure
• 啟動在沒有人類批准或沙箱的情況下執行的自主代理迴圈，例如使用 --dangerously-skip-permissions 或 --no-sandbox 啟動的迴圈。從 v2.1.198 開始，這也涵蓋執行第三方代理或評估工具，隔離和每個操作批准禁用，例如使用 --yes-always 啟動的執行器
• Chrome 中的 Claude瀏覽器操作可能會將頁面內容、Cookie 或認證傳送到跨來源

• 通過萬用字元、glob 或年齡篩選器而不是特定命名路徑刪除 /tmp、$TMPDIR 或其他共享暫存或快取目錄中的檔案
• 在您自己的訊息未授權這些詳細資訊給該收件人時，將敏感詳細資訊包含在傳送、上傳、發佈或寫入其他人或共享系統的內容中。PR 和問題正文、提交訊息和評論在儲存庫在信任邊界外或公開時計為此類出站內容，包括您組織自己的公開儲存庫；內部檔案路徑、代碼名稱、即時 API 回應資料（例如電子郵件或帳戶識別碼）和基礎設施識別碼計為敏感詳細資訊。PR、問題和提交訊息範圍需要 Claude Code v2.1.200 或更新版本。PR 或問題正文中的即時個人資料（例如電子郵件地址、帳戶或組織識別碼或使用指標）需要您命名這些詳細資訊和收件人，無論儲存庫的可見性或信任邊界如何。該檢查需要 Claude Code v2.1.203 或更新版本
• 傳送按鍵到 Claude Code 自己的 tmux 窗格以驅動其自己的介面，分類器將其視為 Claude 變更自己的權限或監督

• 註解掉、刪除或強制通過保護安全行為的測試或斷言，例如驗證、存取控制、輸入驗證或沙箱
• 刪除或拆除 Claude 在工作階段中未建立的有狀態資源，當沒有更具體的刪除規則適用且您未命名該資源時
• 將 API 基礎 URL、代理端點、Webhook 接收器或登錄鏡像重新指向不適合任務的第三方主機，包括在 .env.example 等範例檔案中
• 使用 git remote set-url 或 git remote add 變更推送去向，除非您命名了新遠端
• 推送秘密或個人或受信任資料到已知為公開的儲存庫，或推送不屬於該儲存庫自己工作的機密材料到那裡。Dotfiles 儲存庫自己的主題是個人或受信任資料的唯一例外，來自私有儲存庫到任何公開表面的內容以相同方式被阻止；兩項改進都需要 Claude Code v2.1.203 或更新版本。在 v2.1.203 之前，個人資料與機密材料分組，僅當它不屬於該儲存庫自己的工作時才被阻止。當儲存庫的可見性未確定時，分類器不單獨在此阻止；它改為根據其他規則判斷內容
• 針對不同儲存庫或組織開啟拉取請求、使用 gh repo fork 進行分叉或推送到第三方儲存庫，除非您命名了該外部目標

• 來自敏感本地存儲或檔案名稱、路徑或類型將其標記為敏感的檔案的內容進入提交、推送、PR 或問題文字、gist 或貼上或套件發佈，除非您命名了來源和目的地。工作階段文字記錄和對話日誌、認證和配置點資料夾（例如 SSH 金鑰、雲端認證、瀏覽器設定檔和殼層歷史記錄）以及使用者資料匯出都計為此類，儲存庫為私有不會清除它

• 寫入 Claude Code 工作階段文字記錄、~/.claude/projects/ 下的 .jsonl 歷史檔案或您配置的配置目錄，無論是直接還是通過殼層命令。該規則也涵蓋 Claude Code 為其自己的檢查附加到每個文字記錄條目的中繼資料行。讀取文字記錄不被阻止
• 遞迴強制刪除，例如 rm -rf "$VAR" 或 Remove-Item -Recurse -Force $dir，其目標是分類器看不到的殼層變數，在對話中的任何地方都未指派，或以此類變數為根的 glob。該值僅來自較早的命令輸出，分類器永遠不會收到，因此分類器無法根據其他刪除規則驗證刪除目標。當您命名被刪除的確切路徑或 Claude 使用寫入命令的已解析文字路徑重新執行刪除時，該塊會清除。目標分類器可以解析的刪除不受影響。 直接在變數下的 glob，如 rm -rf "$VAR"/*，是關鍵路徑。Remove-Item 目標為裸 * 或以 /* 或 \* 結尾的永遠不會到達分類器：Claude Code 直接拒絕它們。

• 從雲端實例中繼資料端點（例如 169.254.169.254）請求認證，或使用機器自己的服務帳戶或節點身份明確驗證雲端、叢集或登錄呼叫
• 通過直接請求以外的路由到達公開主機，例如隧道、反向殼層或重寫為指向外部的解析器或代理配置
• 讀取屬於主機而不是您的任務的認證，例如節點憑證或節點的容器登錄驗證
• 連接到或掃描 Claude 未啟動的同級容器、Pod 或 VM，或容器下的節點

• 在訊息、PR 或問題文字、文件或連結將被開啟或獲取的任何其他地方發佈或寫入公開貼上、圖表或資料共享服務的連結，當 URL 本身攜帶被共享的內容時，除非您命名了該服務

• 您工作目錄中的本地檔案操作
• 安裝在您的鎖定檔案或清單中宣告的依賴項
• 讀取 .env 並將認證傳送到其匹配的 API
• 唯讀 HTTP 請求
• 推送到您正在處理的儲存庫的任何分支，包括預設分支。名稱將其標記為部署或發佈目標的非預設分支，例如 production 或 gh-pages，不被涵蓋：分類器根據其自己的條款判斷推送到那裡。推送的內容仍根據其他規則進行檢查，permissions.deny 規則仍可以在每個模式中按書寫阻止推送命令，遠端自己的分支保護仍然適用。在 v2.1.211 之前，僅允許推送到您啟動的分支、Claude 建立的分支和到預設分支的例行推送，在 v2.1.203 之前任何直接推送到預設分支都被阻止

• 刪除 Claude 在同一工作階段中較早建立的確切工作
• 作為您的任務的一部分讀取、審查或寫入安全相關的程式碼、配置和威脅模型
• 在同一多代理工作階段中一起工作的代理之間的訊息
• 將資料傳送到您在 environment 中列出的受信任域、儲存桶和服務。這僅涵蓋資料流，而不是相同基礎設施上的破壞性或認證操作
• Chrome 中的 Claude導航到受信任的內部域、localhost 或您命名的 URL

​

工作目錄外的第一次讀取

• 是，並繼續允許工作目錄外的任何讀取：讀取執行，稍後對工作目錄外的讀取如前所述執行，Claude Code 記錄您的答案以便提示不再出現
• 否，並從現在開始阻止工作目錄外的讀取：讀取被拒絕，Claude Code 在您的使用者設定中將 permissions.blockReadsOutsideWorkingDirectories 設定為 true，這使檔案工具在每個稍後的工作階段和每個權限模式中拒絕此類讀取。要稍後讓 Claude 讀取此類路徑，請使用 /add-dir 新增其目錄或移除設定。
• 否，下次再詢問：讀取被拒絕，下一次對工作目錄外的讀取再次提示
• 是，但下次再詢問：讀取執行，沒有任何內容被儲存，下一次對工作目錄外的讀取再次提示

​

您在對話中陳述的邊界

​

您在對話中陳述的批准

• 命名操作及其細節：您的訊息必須命名操作和使其危險的具體事物，例如強制推送的分支。僅命名動詞不會清除任何內容，因此「您可以強制推送」會使阻止保持有效。
• 期望它涵蓋一個操作：批准涵蓋您命名的破壞性操作，因此稍後的操作再次被阻止，除非您授予批准為常設。要停止一次一個批准例行模式，請將其新增到 autoMode.allow。
• 某些阻止保持有效：分類器的優先順序列出您的批准可以到達的阻止。要執行它不會清除的步驟，離開自動模式並回答權限提示。

​

當自動模式回退時

• 被阻止的操作：Claude Code 顯示通知並在 /permissions 下的最近拒絕標籤中列出操作，您可以按 r 使用手動批准重試它。當分類器對操作沒有給出判決時，因為分類器自己的請求或其回應未解析的安全檢查拒絕了它，Claude Code 拒絕操作而沒有通知或最近拒絕條目。
• 重複阻止：如果分類器連續 3 次或總共 20 次阻止操作，自動模式暫停，Claude Code 恢復提示。批准提示的操作恢復自動模式。這些閾值不可配置。任何允許的操作重置連續計數器，而總計數器在工作階段中持續並僅在其自己的限制觸發回退時重置。當分類器自己的請求的安全檢查拒絕時，Claude Code 不計算拒絕到任一閾值；連結的條目涵蓋 Claude Code 如何處理這些拒絕。
• 無法提示的工作階段：沒有 --permission-prompt-tool 的非互動式 -p 執行沒有回退提示。當重複阻止達到閾值時，操作不執行，Claude 繼續工作。當分類器自己的請求的安全檢查拒絕時也適用相同情況。Claude Code 在任一情況下都不停止執行。
• 伺服器沒有判決：在伺服器端分類器審查下，Claude Code 拒絕伺服器沒有給出判決的操作，並在連續十個沒有判決的回應後停止轉向。請參閱伺服器未返回安全判決。
• 檢查期間的模式切換：如果您在分類器檢查待決時切換權限模式，Claude Code 丟棄新模式不會請求的判決，而不是應用它：您改為被提示批准，或操作在 dontAsk 模式中自動拒絕。

​

使用 dontAsk 模式僅允許預先批准的工具

claude --permission-mode dontAsk

​

使用 bypassPermissions 模式跳過所有檢查

• 針對超出此機器的工作階段訊息的 isolatePeerMachines 核准提示仍會出現。
• 當沒有 crossSessionInbound 值適用時，Claude Code 會保留來自您另一個工作階段的入站訊息以供您核准，只有當傳送工作階段識別自己也在略過權限提示時才會無需詢問即傳遞。如果您在保留訊息時離開權限模式，Claude Code 會重新套用入站規則，並傳遞任何現在接受的保留訊息。

claude --permission-mode bypassPermissions

--dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons

​

受保護的路徑

• 對於專案的 .claude/ 資料夾：是的，並允許 Claude 在此工作階段編輯此專案的 .claude 資料夾中的檔案
• 對於 ~/.claude/：是的，並允許 Claude 在此工作階段編輯其 ~/.claude 資料夾中的檔案

• .git
• .config/git
• .vscode
• .idea
• .husky
• .cargo
• .devcontainer
• .yarn
• .mvn
• .claude，除了 .claude/worktrees 其中 Claude 儲存其自身的 git worktrees

• .gitconfig、.gitmodules
• .bashrc、.bash_profile、.bash_login、.bash_aliases、.bash_logout、.zshrc、.zprofile、.zshenv、.zlogin、.zlogout、.profile、.envrc
• .npmrc、.yarnrc、.yarnrc.yml、.pnp.cjs、.pnp.loader.mjs、.pnpmfile.cjs、bunfig.toml、.bunfig.toml
• .bazelrc、.bazelversion、.bazeliskrc
• .pre-commit-config.yaml、lefthook.yml、lefthook.yaml、.lefthook.yml、.lefthook.yaml
• gradle-wrapper.properties、maven-wrapper.properties
• .devcontainer.json
• .ripgreprc、pyrightconfig.json
• .mcp.json、.claude.json

​

關鍵路徑

• 如果倒計時在您回答之前用完，Claude Code 會拒絕命令並告訴 Claude 該怎麼做，因此無人值守的工作階段會繼續運作。
• 在提示開啟時按任何鍵以停止倒計時並保持提示等待您的回答。
• 在一個工作階段中，這些提示中的三個無人回答後，Claude Code 會停止顯示它們並立即拒絕進一步的關鍵路徑移除。傳送新訊息會重新開始計數。

• 檔案系統根目錄
• 頂級目錄，意思是根目錄的任何直接子目錄，例如 /usr、/etc 或 /data
• 您的主目錄
• Windows 磁碟機根目錄及其頂級目錄，例如 C:\ 和 C:\Windows
• 您的工作目錄及其父目錄
• 您的其他工作目錄及其父目錄，但僅當移除是其中一個下的 glob 時，例如 rm -rf <dir>/*。rm -rf <dir> 在目錄本身上不會觸發此檢查

• 對於像 $DIR 這樣的變數，保護每個擴展，使得當變數未設定或為空時 shell 會停止並出現錯誤，如 rm -rf "${DIR:?}"/*，或使用字面路徑
• 對於通常已設定的變數，例如 $HOME，使用字面路徑

• shell 變數後跟一個頂級目錄名稱，例如 rm -rf "$TMPDIR/mnt"：當變數擴展為空時，命令會移除 /mnt。這涵蓋常見的頂級名稱，例如 mnt、tmp、usr 和 Users。
• 同一命令從目錄列印替換指派的變數，例如 D=$(pwd); rm -rf "$D" 或來自 $(git rev-parse --show-toplevel) 的指派：該值可以命名您的工作目錄或儲存庫根目錄。"${D:?}" 保護不會清除此檢查，因為變數不是空的；改為使用字面路徑。
• 僅反斜線目標，例如 rm -rf "\\"：Windows 上的 Git Bash 將單個反斜線讀取為目前磁碟機的根目錄，因此檢查適用於每個平台。
• 僅命令替換的輸出，例如 rm -rf "$(pwd)"，當 rm 是遞迴時：Claude Code 無法在命令執行前檢查目標，因此提示告訴 Claude 先自行執行替換，然後移除它列印的字面路徑。要關閉此檢查，請在啟動 Claude Code 的環境中設定 CLAUDE_CODE_DISABLE_SUBSTITUTION_RM_PROMPT=1。

​

PowerShell 中的 Remove-Item

• 系統路徑：檔案系統根目錄及其頂級目錄、磁碟機根目錄及其頂級目錄以及您的主目錄。Claude Code 在每種模式中拒絕命令，無需詢問您。
• 萬用字元：裸 * 或任何以 /* 或 \* 結尾的目標，包括 shell 變數下的 glob，例如 $dir/*。Claude Code 在每種模式中拒絕命令，無需詢問您，在分類器看到它之前。
• 您的工作目錄或其中一個父目錄，使用 -Recurse：Claude Code 將命令視為任何其他在您的權限模式中需要批准的命令，因此它在詢問的模式中詢問您，在 auto 模式中傳送到分類器，在 dontAsk 模式中拒絕它。bypassPermissions 模式跳過此檢查。

​

另請參閱

• Permissions：allow、ask 和 deny 規則；受管理的原則
• Configure auto mode：告訴分類器您的組織信任哪些基礎設施
• Hooks：透過 PreToolUse 和 PermissionRequest hooks 的自訂權限邏輯
• Security：保護措施和最佳實踐
• Sandboxing：Bash 命令的檔案系統和網路隔離
• Non-interactive mode：使用 -p 旗標執行 Claude Code