選擇權限模式

可用模式

任何模式都不會自動核准的操作

• 符合明確詢問規則的工具
• 您的組織設定為 ask 的連接器工具，適用於該設定會傳達至 Claude Code 的工作階段
• 需要使用者互動的工具：內建的 AskUserQuestion 工具，以及標記為 requiresUserInteraction 的 MCP 工具
• 經識別的 rm 與 rmdir 關鍵路徑刪除（任何允許規則或 PreToolUse hook 的 "allow" 都無法核准），以及被標記為 Dangerous rm operation not ruled out 的 Bash 命令
• 跨工作階段訊息傳遞保護措施
• 在 permissions.blockReadsOutsideWorkingDirectories 開啟時，對工作目錄以外位置的讀取：經識別的檔案讀取 Bash 命令即使在自動模式與 bypassPermissions 模式中也會提示，任何需要核准才能在沙箱外執行的非沙箱重試也是如此。需要 Claude Code v2.1.257 或更新版本。 shell 剖析器無法追蹤的命令，例如多次變更目錄或執行子 shell 的命令，即使未指定任何外部路徑，也會以相同方式提示。當命令在沙箱中執行且由沙箱強制執行該封鎖時，此提示不適用。
• 在 permissions.blockWritesOutsideWorkingDirectories 開啟時，對工作目錄以外位置的寫入：Claude Code 會拒絕在該處的 Write、Edit 與 NotebookEdit 呼叫，但其自身的部分檔案除外。此設定鍵不會限制 shell 命令、MCP 工具或 hook 執行的程式，因此請使用沙箱機制來限制 shell 命令的寫入位置。需要 Claude Code v2.1.314 或更新版本。

常見設定

工作階段在哪個模式中啟動

1. --permission-mode 旗標或 --dangerously-skip-permissions
2. 設定檔中的 permissions.defaultMode 如果您在 .claude/settings.json 或 .claude/settings.local.json 中設定 "auto"，該值不會生效，Claude Code 會改為使用內建預設值而不是來自 ~/.claude/settings.json 的 defaultMode。如果您在這兩個檔案中設定 "bypassPermissions"，它也不會生效，工作階段會以 Manual 模式啟動。其他值適用於任何設定檔。
3. 內建預設值

• 在終端機中，一次，在工作階段頂部
• 在 VS Code 擴充功能中，作為新對話螢幕上的卡片，直到您關閉它

在 claude -p 和 Agent SDK 執行中被拒絕的工具呼叫

• 新增允許規則：Claude 會執行您列出的呼叫。將 --allowedTools "Bash(npm test)" 傳遞給 claude -p，或設定您 SDK 的允許工具選項。
• 以自動模式啟動：分類器模型會審查呼叫，因此您無需事先列出任何內容。將 --permission-mode auto 傳遞給 claude -p，或設定您 SDK 的權限模式選項。

claude -p "Run the test suite and fix any failures" --permission-mode auto

const options = {
  permissionMode: "auto"
};

from claude_agent_sdk import ClaudeAgentOptions

options = ClaudeAgentOptions(permission_mode="auto")

以不同的權限模式啟動

{
  "permissions": {
    "defaultMode": "default"
  }
}

HIPAA 設定下的權限模式

• 切換到自動模式：按 Shift+Tab，或使用您介面的控制項
• 以自動模式啟動：傳遞 --permission-mode auto，或在您的使用者設定中將 permissions.defaultMode 設定為 auto，或在受管設定中為整個組織設定。請參閱以不同的權限模式啟動
• 移除自動模式：在受管設定中將 permissions.disableAutoMode 設定為 "disable"
• 封鎖 bypassPermissions：在受管設定中將 permissions.disableBypassPermissionsMode 設定為 "disable"

切換權限模式

claude --permission-mode plan

claude remote-control --permission-mode acceptEdits

使用 acceptEdits 模式自動批准檔案編輯

• 超出該範圍的路徑
• 寫入受保護路徑
• 可辨識的 rm 和 rmdir 關鍵路徑移除
• touch 搭配純檔案路徑以外的任何內容，例如選項、glob，或 timeout 5、LANG=C 等前綴
• 所有其他 Bash 命令（除了內建唯讀集合）

claude --permission-mode acceptEdits

使用 plan mode 在編輯前進行分析

• 可使用略過權限的互動式終端機工作階段：分類器和權限提示都不適用於規劃命令。使用 bypassPermissions 模式略過所有檢查說明了在該模式下仍會提示的少數情況。
• 可使用自動模式且 useAutoModeDuringPlan 設定已開啟（預設為開啟）：分類器會審查關鍵路徑移除以外的 shell 命令，而不是提示您。核准的命令會執行，遭拒絕的命令則會被封鎖。
• 無法使用自動模式，或 useAutoModeDuringPlan 已關閉：內建唯讀命令集以外的命令會提示要求核准，即使已啟用沙箱的自動允許模式也是如此。

claude --permission-mode plan

審查並核准計畫

• Yes, and use auto mode：核准並以自動模式開始。如果您的工作階段無法使用自動模式（例如因為您的組織已將其關閉），此選項會顯示為 Yes, auto-accept edits。如果您在啟動工作階段時已啟用略過權限，此選項則會顯示為 Yes, and switch to BYPASS PERMISSIONS (no further prompts) for this session。
• Yes, manually approve edits：核准並逐一審查每項編輯。
• No, keep planning：留在 plan mode 並告訴 Claude 要變更的內容。

將 plan mode 設為預設

使用自動模式消除權限提示

• 計畫：所有計畫。
• 組織：在 Team 和 Enterprise 上，自動模式預設可用。管理員可以透過在受管設定中將 permissions.disableAutoMode 設定為 "disable" 來為組織關閉它。
• 模型：在 Anthropic API 和 AWS 上的 Claude Platform 上，Claude Opus 4.6 或更新版本、Sonnet 4.6 或更新版本、Haiku 5.5，或 Fable 模型。在 Amazon Bedrock、Google Cloud 的 Agent Platform、Microsoft Foundry 和已登入的 Claude 應用程式閘道工作階段上，僅限 Claude Sonnet 5 或更新版本、Opus 4.7 或更新版本、Haiku 5.5 和 Fable 模型。較舊的模型，包括 Sonnet 4.5、Opus 4.5、Haiku 4.5 和 claude-3 模型，在任何提供商上都不受支援。
• 提供商：在 Anthropic API、AWS 上的 Claude Platform、Amazon Bedrock、Google Cloud 的 Agent Platform、Microsoft Foundry 和已登入的 Claude 應用程式閘道工作階段上預設可用。

Bedrock、Agent Platform 或 Foundry 上的自動模式

• 互動式終端機和 VS Code 工作階段：若要以自動模式以外的權限模式啟動這些工作階段，請按照以不同權限模式啟動的說明設定 permissions.defaultMode，或從 VS Code 擴充功能的模式指示器中選擇一個。工作階段以哪種模式啟動列出了以自動模式啟動這些工作階段的 Claude Code 版本。
• claude -p 和 Agent SDK 執行：若要以自動模式啟動，請將 --permission-mode auto 傳遞給 claude -p，或在 TypeScript 中傳遞 permissionMode: "auto"、在 Python 中傳遞 permission_mode="auto"。如果您未傳遞權限模式，請參閱claude -p 和 Agent SDK 執行中被拒絕的工具呼叫，其中也涵蓋較早的 Claude Code 版本。

伺服器端分類器審查

• 直接連接到 Anthropic API：在互動式終端機工作階段，以及 -p、Agent SDK、VS Code 擴充功能和桌面應用程式工作階段中，無論您的計畫或帳戶類型為何，隨 Anthropic 逐步推出。請對照以下最低 Claude Code 版本檢查您的工作階段類型：
  • 在互動式終端機工作階段中，在 Pro、Max、Ultra 和 Team 計畫上詢問伺服器需要 Claude Code v2.1.271 或更新版本。在 Enterprise 計畫和 Claude API 帳戶上，這些工作階段需要 v2.1.278 或更新版本。
  • 在 -p 和 VS Code 擴充功能工作階段中，詢問伺服器需要 Claude Code v2.1.278 或更新版本
  • 在 Agent SDK 和桌面應用程式工作階段中，詢問伺服器需要 Claude Code v2.1.281 或更新版本
  • 從 v2.1.282 開始，不擷取功能旗標的工作階段（例如因為您關閉了遙測），在任何類型的工作階段中都會預設詢問伺服器
• 雲端提供商，或 LLM 閘道或代理伺服器：在 AWS 上的 Claude Platform、Amazon Bedrock、Google Cloud 的 Agent Platform 和 Microsoft Foundry 上，以及每當您將 ANTHROPIC_BASE_URL 指向 LLM 閘道或代理伺服器時，無論您的計畫為何。預設詢問需要 Claude Code v2.1.278 或更新版本。
• 已登入的 Claude 應用程式閘道工作階段：需要 Claude Code v2.1.280 或更新版本
• 在 Anthropic 託管環境中的雲端工作階段：無論您的計畫為何，當您從網頁、行動應用程式，或在選取 Cloud 的情況下從桌面應用程式啟動時。由雲端排程任務啟動的工作階段會隨 Anthropic 逐步推出而詢問伺服器。

• 伺服器不審查工作階段：回應完成時沒有審查結果，或伺服器回答它不審查此工作階段。最常見的原因是 LLM 閘道或代理伺服器丟棄了審查請求或結果，以及平台、區域或憑證尚未提供伺服器端檢查。Claude Code 會改用自己的分類器請求。一旦該備援在工作階段的其餘部分持續生效，它會在這些請求會被計費的帳戶上顯示關於分類器請求費用的通知。
• 伺服器對操作沒有給出判決：Claude Code 會拒絕該操作，而不是在未經審查的情況下執行它。在任何連線上，當回應在審查結果到達前結束，或結果以 Claude Code 無法讀取的形式到達時，就會發生這種情況。截斷回應或重寫結果的 LLM 閘道或代理伺服器可能導致任一情況。在直接連接到 Anthropic API 時，當伺服器對該操作的檢查失敗（例如逾時）時也會發生。伺服器未返回安全判決涵蓋拒絕訊息、拒絕重複發生時的情況以及應對方法。 如果 hook 或 mod 在伺服器審查後變更了操作的輸入，Claude Code 可能會在沒有判決的情況下拒絕該操作。在直接連接到 Anthropic API 的互動式終端機和 VS Code 工作階段中，拒絕文字會包含 a hook changed this call's input after auto mode reviewed it。其錯誤項目涵蓋應對方法。

預設分類器模型

選擇分類器模型

{
  "env": {
    "CLAUDE_CODE_AUTO_MODE_MODEL": "claude-sonnet-4-6"
  }
}

當審查者不是您的模型時

檢查分類器使用的模型

claude --permission-mode auto --debug-file classifier-debug.log

• model= 後面是您的模型：該變數已生效
• model= 後面是不同的模型：在日誌中搜尋 ignoring CLAUDE_CODE_AUTO_MODE_MODEL，其中會說明原因以及任何需要採取的步驟
• 沒有這樣的行：在 Claude Code 提示字元中讀取 /status 裡的 Auto mode server：
  • Enabled：伺服器已設定為審查此工作階段的呼叫。
  • Disabled：此檢查尚未測試到您的模型。請確認權限模式為 auto，且沒有任何權限規則符合 curl，然後在關閉沙箱的情況下再次執行檢查。

分類器預設阻止的內容

• 下載並執行程式碼，例如 curl | bash
• 將敏感資料傳送到外部端點
• 生產部署和遷移
• 雲端儲存上的大量刪除
• 授予 IAM 或儲存庫權限
• 修改共享基礎設施
• 不可逆地銷毀工作階段前已存在的檔案
• 強制推送
• 提交或推送在執行時會將秘密或敏感資料傳送到儲存庫外部，或擴大部署所公開內容的變更。這涵蓋將秘密傳遞到原本未接收該秘密之目的地的 CI 工作流程或部署設定、讀取秘密儲存區並將資料送出的指令碼或設定步驟，以及擴大部署發佈內容的設定變更，例如 registry、可見性、建置產物或 sourcemap 設定。此檢查適用於任何分支，即使儲存庫是公開的也適用，並在提交或推送該變更時觸發，無論該提交或推送是否觸發管線；要解除它，需要指明執行時的效果，而不僅僅是提交或推送
• git reset --hard、git checkout -- .、git restore .、git clean -fd、git stash drop 或 git stash clear，分類器推定這些會丟棄未提交的變更
• 當 HEAD 的提交不是在此工作階段中建立時的 git commit --amend
• 從 v2.1.198 開始，當 HEAD 的提交已經被推送時的 git commit --amend。僅修改訊息的改寫不會被阻止：在 Claude 於此工作階段期間建立的提交上，沒有新暫存內容的 --amend -m
• terraform destroy、pulumi destroy、cdk destroy 或 terragrunt destroy，以及套用會銷毀資源的計畫
• 寫入秘密管理器，或變更 DNS 記錄或 TLS 憑證
• 合併未經任何人核准的 pull request、核准 Claude 自己的 pull request，或停用 CI 檢查
• 發佈本身就是對自動化發出命令的留言，例如 atlantis apply 或機器人的 /deploy 或 /merge
• 切換、逐步調整或刪除生產環境的功能旗標
• 將基礎設施變更套用到受保護的 IaC 範圍，或排空並移除叢集節點
• 對共享運算叢集的寫入超出您所指明的資源，例如會涵蓋到其他使用者工作的標籤選擇器或 --all
• 建立在每個節點上執行或攔截叢集流量的 Kubernetes 資源，例如 DaemonSets 和 admission webhooks
• 對敏感遠端目標開啟互動式 shell 或連接埠轉發
• 開啟使本機服務可從公開網際網路存取的通道或反向 shell
• 將有效的憑證或 token 印出到逐字稿或檔案中
• 存取在您的環境中列為敏感資料位置的位置、從中複製資料出去，或將資料從該位置傳送給該項目所排除的對象
• 繞過您的內部套件 registry，將套件安裝導向公開 registry。當您的環境中列出了內部 registry 或鏡像，或您在對話中告訴 Claude 存在內部 registry 或鏡像時，即適用此規則
• 執行帶有解除安全防護旗標的命令，例如 --insecure
• 啟動在沒有人工核准或沙箱的情況下執行的自主 agent 迴圈，例如使用 --dangerously-skip-permissions 或 --no-sandbox 啟動的迴圈。這包括在停用隔離和逐項操作核准的情況下執行第三方 agent 或評估工具，例如使用 --yes-always 啟動的執行器
• 可能將頁面內容、Cookie 或憑證傳送到其他來源的 Claude in Chrome 瀏覽器操作
• 透過萬用字元、glob 或存留時間篩選，而非特定指名的路徑，刪除 /tmp、$TMPDIR 或其他共享暫存或快取目錄中的檔案
• 在傳送、上傳、發佈或寫給其他人或共享系統的內容中包含敏感細節，而您自己的訊息並未授權將這些細節提供給該收件者。當儲存庫位於信任邊界之外或為公開時（包括您組織自己的公開儲存庫），PR 和 issue 內文、提交訊息和留言都視為此類對外內容；內部檔案路徑、代號、即時 API 回應資料（例如電子郵件或帳戶識別碼）以及基礎設施識別碼都視為敏感細節。PR 或 issue 內文中來自 API 回應的即時個人資料，例如電子郵件地址、帳戶或組織識別碼或使用量指標，無論儲存庫的可見性或信任邊界為何，都需要您指明這些細節和收件者
• 向 Claude Code 自己的 tmux 窗格傳送按鍵以操控其自身介面，分類器將此視為 Claude 變更自己的權限或監督
• 註解掉、刪除或強制通過保護安全行為的測試或斷言，例如驗證、存取控制、輸入驗證或沙箱機制
• 刪除或拆除 Claude 未在工作階段中建立的有狀態資源，當沒有更具體的刪除規則適用且您未指明該資源時
• 將 API 基礎 URL、代理伺服器端點、webhook 接收器或 registry 鏡像重新指向不符合任務的第三方主機，包括在 .env.example 等範例檔案中
• 使用 git remote set-url 或 git remote add 變更推送目的地，除非您指明了新的遠端
• 將秘密或個人或受託資料推送到已知為公開的儲存庫，或將不屬於該儲存庫本身工作的機密資料推送到那裡。對個人或受託資料而言，dotfiles 儲存庫本身的主題內容是唯一的例外，而來自私人儲存庫的內容流向任何公開使用介面也會以相同方式被阻止。當儲存庫的可見性未確定時，分類器不會僅憑此點而阻止；它會改為依據其他規則判斷內容
• 對不同的儲存庫或組織開啟 pull request、使用 gh repo fork 進行分叉，或推送到第三方儲存庫，除非您指明了該外部目標
• 來自敏感本機儲存區，或來自名稱、路徑或類型標示其為敏感之檔案的內容，進入提交、推送、PR 或 issue 文字、gist 或貼文，或套件發佈，除非您同時指明了來源和目的地。工作階段逐字稿和對話日誌、憑證和設定點資料夾（例如 SSH 金鑰、雲端憑證、瀏覽器設定檔和 shell 歷史記錄）以及使用者資料匯出都包含在內，且儲存庫為私人並不會解除此限制
• 寫入 Claude Code 工作階段逐字稿，即 ~/.claude/projects/ 或您所設定之設定目錄下的 .jsonl 歷史檔案，無論是直接寫入還是透過 shell 命令。此規則也涵蓋 Claude Code 為其自身檢查附加到每個逐字稿項目的中繼資料行。讀取逐字稿不會被阻止
• 遞迴強制刪除，例如 rm -rf "$VAR" 或 Remove-Item -Recurse -Force $dir，其目標是在分類器看到的對話中未被指派的 shell 變數，或以此類變數為根的 glob。缺少該指派時，分類器無法判斷該命令會刪除什麼。 當您指明正在刪除的確切路徑，或 Claude 將解析後的字面路徑寫入命令中重新執行刪除時，此阻止即會解除。分類器可以解析其目標的刪除不受影響。 直接位於變數下的 glob，如 rm -rf "$VAR"/*，則屬於關鍵路徑。對於目標為單獨的 * 或以 /* 或 \* 結尾的 Remove-Item，請參閱 PowerShell 中的 Remove-Item：Claude Code 會直接拒絕該命令。

• 從雲端執行個體中繼資料端點（例如 169.254.169.254）請求憑證，或明確使用機器自身的服務帳戶或節點身分來驗證雲端、叢集或 registry 呼叫
• 透過直接請求以外的路徑連線到公開主機，例如通道、反向 shell，或被改寫為指向外部的解析器或代理伺服器設定
• 讀取屬於主機而非屬於您任務的憑證，例如節點憑證或節點的容器 registry 驗證資訊
• 連線到或掃描 Claude 未啟動的同層容器、Pod 或 VM，或容器底下的節點

• 在訊息、PR 或 issue 文字、文件，或任何連結會被開啟或擷取的其他地方，發佈或寫入指向公開貼文、圖表或資料分享服務的連結，而該 URL 本身即攜帶所分享的內容，除非您指明了該服務

• 您工作目錄中的本機檔案操作
• 安裝在您的鎖定檔案或清單檔中宣告的相依套件
• 讀取 .env 並將憑證傳送到其對應的 API
• 唯讀 HTTP 請求
• 推送到您正在處理的儲存庫的任何分支，包括預設分支。名稱將其標示為部署或發佈目標的非預設分支，例如 production 或 gh-pages，不在此列：分類器會依其本身的情況判斷推送到那裡的操作。 推送的內容仍會依據分類器的其他規則進行檢查，permissions.deny 規則仍可在每個模式中依撰寫方式阻止推送命令。遠端自身的分支保護也仍然適用。
• 刪除 Claude 在同一工作階段中稍早建立的特定工作
• 作為您任務的一部分讀取、審查或撰寫與安全相關的程式碼、設定和威脅模型
• 在同一多 agent 工作階段中協同工作的 agent 之間的訊息
• 將資料傳送到您在 environment 中列出的受信任網域、儲存桶和服務。這僅涵蓋資料流，不涵蓋在同一基礎設施上的破壞性操作或憑證操作
• Claude in Chrome 導覽至受信任的內部網域、localhost 或您指明的 URL

工作目錄外的第一次讀取

• 是，並繼續允許工作目錄外的任何讀取：讀取會執行，之後在工作目錄外的讀取照常執行，Claude Code 會記錄您的答案，讓提示不再出現
• 否，並從現在開始阻止工作目錄外的讀取：讀取被拒絕，Claude Code 會在您的使用者設定中將 permissions.blockReadsOutsideWorkingDirectories 設定為 true，這會使檔案工具在此工作階段及之後的每個工作階段、每個權限模式中拒絕此類讀取。若要解除此阻止，請從每個設定了該項目的設定檔中移除該設定，然後重新啟動每個執行中的工作階段。若只需在此工作階段中開放單一目錄，請使用 /add-dir。
• 否，下次再詢問：讀取被拒絕，下一次在工作目錄外的讀取會再次提示
• 是，但下次再詢問：讀取會執行，不會儲存任何內容，下一次在工作目錄外的讀取會再次提示

您在對話中陳述的邊界

您在對話中陳述的核准

• 指明操作及其細節：您的訊息必須指明該操作，以及使其危險的具體事項，例如強制推送的分支。僅指明動詞不會解除任何阻止，因此「您可以強制推送」會使阻止保持有效。
• 預期它只涵蓋一個操作：核准涵蓋您所指明的破壞性操作，因此之後的操作會再次被阻止，除非您將核准授予為持續有效。若要停止逐一核准某個例行模式，請將其新增到 autoMode.allow。
• 某些阻止會保持有效：分類器的優先順序說明了您的核准可以解除哪些阻止。要執行無法解除的步驟，請離開自動模式並回答權限提示。

當自動模式改用備援時

• 被阻止的操作：Claude Code 會顯示通知，並在 /permissions 的 Recently blocked 分頁中列出該操作，您可以在此核准該操作，讓 Claude 可以重試。
• 重複阻止：如果分類器連續 3 次或總共 20 次阻止操作，自動模式會暫停，Claude Code 會恢復提示。核准被提示的操作即可恢復自動模式。請參閱重複阻止閾值以了解阻止如何計數。
• 分類器沒有判決：當自動模式以外的安全檢查拒絕分類器自身的請求，或分類器的回應無法解析時，Claude Code 會阻止該操作，且不顯示通知，也不建立 Recently blocked 項目。請參閱自動模式無法確定操作的安全性以了解每種情況顯示的訊息和應對方法。
• 伺服器未提供判定結果：在伺服器端分類器審查下，若伺服器未對某個動作提供判定結果，Claude Code 會拒絕該動作，且在連續十個回應都沒有判定結果後，可能會停止該回合。請參閱伺服器未傳回安全判定結果。
• 檢查期間切換模式：如果您在分類器檢查尚未完成時切換權限模式，Claude Code 會捨棄新模式不會請求的判決。您會改為被提示核准，或者該操作在 dontAsk 模式中被自動拒絕。

重複阻止閾值

自動模式如何評估操作

使用 dontAsk 模式僅允許預先批准的工具

• 可辨識的 rm 和 rmdir 關鍵路徑移除，例如 rm -rf / 和 rm -rf ~
• 從網路路徑讀取

claude --permission-mode dontAsk

使用 bypassPermissions 模式略過所有檢查

• 針對傳送至本機以外之您的工作階段的訊息，isolatePeerMachines 核准提示仍會出現。
• 當沒有適用的 crossSessionInbound 值時，Claude Code 會保留來自您其他工作階段的傳入訊息以待您核准，只有在傳送端工作階段表明自己也正在略過權限提示時，才會不經詢問直接傳遞。如果您在訊息被保留期間離開此權限模式，Claude Code 會重新套用傳入規則，並傳遞這些規則現在接受的任何保留訊息。

claude --permission-mode bypassPermissions

• 如果您接受：Claude Code 會在 ~/.claude/settings.json 中將 skipDangerousModePermissionPrompt 設為 true，之後的工作階段便會略過此對話框。若要再次看到對話框，請從該檔案中移除此設定鍵或將其設為 false。skipDangerousModePermissionPrompt 參考列出了您或您的組織可以設定它的其他設定檔。
• 如果您拒絕：Claude Code 會結束。

• 如果沒有記錄接受，claude --bg --permission-mode bypassPermissions 會被拒絕。請先在互動式工作階段中接受對話框。
• 如果 skipDangerousModePermissionPrompt 僅設定在 .claude/settings.local.json 中，背景工作階段會在略過請求被忽略的狀態下啟動：
  • 當 --allow-dangerously-skip-permissions 被忽略時，bypassPermissions 不會出現在其 Shift+Tab 循環中。
  • 當 --permission-mode bypassPermissions 或 --dangerously-skip-permissions 被忽略時，工作階段會改以手動模式啟動。
  請將 "skipDangerousModePermissionPrompt": true 加入 ~/.claude/settings.json，然後啟動新的背景工作階段。

--dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons

背景工作階段中的略過權限請求被忽略

Bypass permissions was requested at launch and ignored · if that was you, ~/.claude/settings.json needs "skipDangerousModePermissionPrompt": true

claude agents 顯示互動式工作階段會略過的略過權限警告

受保護的路徑

• 對於專案的 .claude/ 資料夾：是的，並允許 Claude 在此工作階段編輯此專案的 .claude 資料夾中的檔案
• 對於 ~/.claude/：是的，並允許 Claude 在此工作階段編輯其 ~/.claude 資料夾中的檔案

• .git
• .config/git
• .vscode
• .idea
• .husky
• .cargo
• .devcontainer
• .yarn
• .mvn
• .claude，但有少數例外，例如：
  • Claude 自身位於 .claude/worktrees/ 下的 git worktrees
  • 目前工作階段自身位於 ~/.claude/plans/ 或您所設定的 plansDirectory 中的計畫檔案
  • 背景工作階段自身位於 ~/.claude/jobs/<id>/tmp/ 的暫存目錄
  • 在未使用 --restricted 啟動的工作階段中，專案自動記憶目錄（例如 ~/.claude/projects/<project>/memory/）中的 markdown 檔案
  • 在未使用 --restricted 啟動的工作階段中，subagent 記憶目錄（例如 .claude/agent-memory/）中的 markdown 檔案
• 您使用 --plugin-dir 載入的目錄，因為當檔案變更時 Claude Code 會從中重新載入並執行 mod 的程式碼
• ~/.claude/dev-mods/，或 CLAUDE_CONFIG_DIR 所指向目錄中的 dev-mods/，Claude 會在此儲存它為您撰寫的 mod

• .gitconfig、.gitmodules
• .bashrc、.bash_profile、.bash_login、.bash_aliases、.bash_logout、.zshrc、.zprofile、.zshenv、.zlogin、.zlogout、.profile、.envrc
• .npmrc、.yarnrc、.yarnrc.yml、.pnp.cjs、.pnp.loader.mjs、.pnpmfile.cjs、bunfig.toml、.bunfig.toml
• .bazelrc、.bazelversion、.bazeliskrc
• .pre-commit-config.yaml、lefthook.yml、lefthook.yaml、.lefthook.yml、.lefthook.yaml
• gradle-wrapper.properties、maven-wrapper.properties
• .devcontainer.json
• .ripgreprc、pyrightconfig.json
• .mcp.json、.claude.json
• remote-settings.json（即您組織的伺服器管理設定的儲存副本），以及 Claude Code 與其一同保存的簽章、同步和同意檔案，位於 ~/.claude 或 CLAUDE_CONFIG_DIR 所指向的目錄中
• 您在啟動工作階段時傳遞給 --settings、--mcp-config 或 --agents 的檔案
• 當您的使用者、專案或本機設定檔本身是符號連結時（例如連結到 dotfiles 儲存庫），該設定檔所指向的檔案。在將受保護路徑寫入路由到分類器的模式中，對此檔案的寫入會改為提示您，即使有允許規則相符也是如此。如果該檔案本身的路徑也是某個設定檔的路徑，例如另一個資料夾中的 .claude/settings.json，則該寫入會如同其他受保護路徑寫入一樣交由分類器處理

關鍵路徑

• 拒絕規則：與命令匹配的拒絕規則會阻止該命令，不過您安裝的 mod 仍可核准其中部分呼叫
• 沙箱機制：沙箱機制讓作業系統限制 Bash 命令可以寫入的路徑。在沙箱中執行的命令仍可刪除您的工作目錄
• 嚴格沙箱模式：預設情況下，沙箱中的命令可以在沙箱外重試，而允許規則或 bypassPermissions 模式可以在不提示的情況下核准該重試。嚴格沙箱模式會關閉此重試

哪些路徑是關鍵路徑

• 檔案系統根目錄
• 頂級目錄，即根目錄的任何直接子目錄，例如 /usr、/etc 或 /data
• 您的家目錄。在 Windows 上，其 8.3 短名稱也算在內，例如 C:\Users\LONGNA~1
• Windows 磁碟機根目錄及其頂級目錄，例如 C:\ 和 C:\Windows。\\?\C:\ 和 \\localhost\C$ 等寫法視同 C:\
• 您的工作目錄及其父目錄
• 您的其他工作目錄及其父目錄，但僅當移除是其中一個目錄下的 glob 時，例如 rm -rf <dir>/*。對目錄本身執行 rm -rf <dir> 不會觸發此檢查

計為關鍵路徑的其他目標

巢狀命令和內聯指令碼中的移除

• 巢狀命令：帶有 (...) 的子殼層、帶有 { ...; } 的大括號群組、帶有 $(...) 或反引號的命令替換，或帶有 <(...) 的程序替換。Claude Code 會找到關鍵路徑移除，無論它位於巢狀形式內（如 (rm -rf ~) 或 echo "$(rm -rf ~)"），還是位於同一命令中的其他位置。
• 內聯指令碼：以 -c 傳遞給 sh、bash、zsh 或類似 POSIX shell 的指令碼，如 bash -c 'rm -rf ~'。
  • 當指令碼是雙引號時，呼叫端 shell 會在內部 shell 接收指令碼之前展開其變數。在 find . -name '*.tmp' -exec sh -c "rm -rf \"$1\"/*" _ {} \; 中，命令會針對每個匹配項展開為從檔案系統根目錄的移除，Claude Code 將其視為關鍵路徑移除。
  • 將 $1 綁定到實際值的單引號指令碼（如 sh -c 'rm -rf "$1"/*' _ {} 所做的）不會被標記。

重寫被標記的命令

• glob 或尾部斜線在變數（例如 $DIR）下：保護每個展開，使殼層在變數未設定或為空時停止並出現錯誤，如 rm -rf "${DIR:?}"/*，或使用字面路徑。其展開都以這種方式保護的移除通過此檢查，因此在 bypassPermissions 模式中，除非另一個關鍵路徑檢查標記它，否則它會在沒有提示的情況下執行。
• glob 或尾部斜線在通常設定的變數（例如 $HOME）下：使用字面路徑。
• 從目錄列印替換分配的變數：使用字面路徑。"${D:?}" 保護不會清除此檢查，因為變數不為空。
• 僅是命令替換輸出的目標：首先單獨執行替換，然後移除它列印的字面路徑。提示會告訴 Claude 執行相同操作。

Dangerous rm operation not ruled out 提示

Dangerous rm operation not ruled out — the shell may read this command differently than it was parsed

This command could not be checked for dangerous rm operations: the shell may read it differently than it was parsed.

已掛載磁碟機提示

會出現已掛載磁碟機提示的路徑

關閉已掛載磁碟機提示

export CLAUDE_CODE_DISABLE_MOUNTED_DRIVE_RM_PROMPT=1
claude

• 變數位於設定檔中：無論是哪種設定檔，Claude Code 都會忽略設定檔 env 區塊中的此變數，因此請改在您啟動 claude 的地方設定該變數
• 工作階段啟動時未設定變數：請從已設定該變數的環境重新啟動 claude，因為執行中的工作階段不會取得該變數

關閉已掛載磁碟機提示後仍會提示的移除

• 目標位於您的工作目錄之外：當您在 /Volumes/USB/project 中工作時，rm -rf /Volumes/USB/other 會出現提示。若要停止該提示，請將包含該目標的目錄新增至工作階段
• 目標含有 *：rm -rf build/* 會出現提示。核准該提示即可執行命令，或要求 Claude 不使用 * 而逐一指名每個目標
• 目標是關鍵路徑：/mnt 本身和您的工作目錄本身仍是關鍵路徑，因此對其中任一者執行 rm -rf 會出現提示。核准該提示即可讓 rm 執行

每個權限模式中的關鍵路徑移除

auto 和 bypassPermissions 模式中的時間限制和拒絕

• 如果倒計時在您回答前用完，Claude Code 會拒絕該命令並告訴 Claude 改為執行什麼，因此無人值守的工作階段會繼續工作。
• 在提示打開時按任何鍵以停止倒計時並保持提示等待您的回答。
• 在一個工作階段中，這些提示中的三個在無人回答的情況下用完後，Claude Code 會停止顯示它們並立即拒絕進一步的關鍵路徑移除。發送新訊息會重新開始計數。

• bypassPermissions：終端機提示沒有時間限制，且 VS Code 聊天面板會詢問您
• auto：由分類器決定，適用於終端機、VS Code 聊天面板、-p 執行和 Agent SDK 工作階段

{
  "claudeCode.environmentVariables": [
    { "name": "CLAUDE_CODE_DISABLE_DANGEROUS_RM_TIMEOUT", "value": "1" }
  ]
}

在 bypassPermissions 模式中關閉關鍵路徑移除提示

export CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS=1
claude --permission-mode bypassPermissions

$env:CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS = "1"
claude --permission-mode bypassPermissions

set CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS=1
claude --permission-mode bypassPermissions

關於關鍵路徑移除提示的啟動通知

• is set, so dangerous rm commands can run without a prompt：在受管設定和外掛 hook 載入後，移除即可不經提示執行。如果移除仍持續出現提示或遭拒絕，請參閱為何關鍵路徑移除提示仍保持開啟
• has no effect in this session：移除在整個工作階段中維持其一般的提示或拒絕。若要變更此情況，請在為何關鍵路徑移除提示仍保持開啟中找出您的情況
• has no effect while the Windows registry cannot be read for managed settings：移除維持其一般的提示或拒絕，若之後讀取登錄檔成功，此變數會在不需重新啟動的情況下生效。如果移除仍持續出現提示或遭拒絕，請參閱為何關鍵路徑移除提示仍保持開啟

為何關鍵路徑移除提示仍保持開啟

• 其他機制處理權限提示：未搭配 --permission-prompts none 的 --permission-prompt-tool 或 Agent SDK canUseTool 回呼、具有任何 matcher 的 PermissionRequest hook，或處理該事件的 mod。移除該 hook、mod、工具或回呼，然後重新啟動 claude
• 由 VS Code 擴充功能的聊天面板或桌面應用程式執行工作階段：請改在終端機中啟動 claude，例如 IDE 的整合式終端機
• 有規則涵蓋 Bash、Edit 或 Read：以這些工具之一為目標的拒絕或詢問規則，無論是在啟動時存在，或在工作階段期間被 Claude Code 讀取，即使您之後將其移除也一樣。移除該規則並重新啟動 claude。若要排除某個工具，請使用 --tools 而非拒絕規則
• permissions.blockReadsOutsideWorkingDirectories 已開啟：從每個將其設為 true 的設定檔中移除此設定，然後重新啟動 claude
• claude 在另一個工作階段內執行：從工作階段的 Bash 工具或 hook 啟動的 claude，即使其命令列上帶有該變數也一樣。請從您自己的 shell 啟動 claude。請勿將此巢狀工作階段限制視為安全邊界
• PreToolUse hook 對移除回應 ask：變更該 hook 的回傳值
• 由 Claude Code 為您啟動工作階段：背景工作階段、分割窗格中的 agent team 隊員，以及 Remote Control 伺服器建立的工作階段，啟動時都不帶有該變數。請從您自己的 shell 啟動 claude
• 無法讀取受管設定：Claude Code 尚未成功讀取您的受管設定來源。如果伺服器受管設定持續無法載入，請參閱 Remote managed settings failed to load。對於任何不是登錄檔查詢的其他失敗，請要求管理該來源的人員修正
• 無法查詢 Windows 登錄檔：在 Windows 和 WSL 中，此變數需要登錄檔的回應，即使 WSL 不將其用於設定也是如此。在非英文版 Windows、關閉 interop 的 WSL，或 WSL2 核心上的容器中，查詢可能在整個工作階段中都失敗。如果 interop 已關閉，請將其開啟。否則，請自行執行這些移除

PowerShell 中的 Remove-Item

• 系統路徑：檔案系統根目錄及其頂級目錄、磁碟機根目錄及其頂級目錄，以及您的主目錄。Claude Code 在每種模式中都拒絕該命令，不詢問您。
• 萬用字元：裸 *，或任何以 /* 或 \* 結尾的目標，包括 shell 變數下的 glob，例如 $dir/*。Claude Code 在每種模式中都拒絕該命令，不詢問您，在分類器看到它之前。
• 您的工作目錄或其父目錄之一，帶有 -Recurse：Claude Code 將命令視為任何其他需要在您的權限模式中批准的命令，因此它在詢問的模式中詢問您，在 auto 模式中將其發送給分類器，在 dontAsk 模式中拒絕它。bypassPermissions 模式跳過此檢查。

另請參閱

• Permissions：allow、ask 和 deny 規則；受管理的原則
• Configure auto mode：告訴分類器您的組織信任哪些基礎設施
• Hooks：透過 PreToolUse 和 PermissionRequest hooks 的自訂權限邏輯
• Security：保護措施和最佳實踐
• Sandboxing：Bash 命令的檔案系統和網路隔離
• Non-interactive mode：使用 -p 旗標執行 Claude Code