設定權限

​

權限系統

​

當您回答權限提示時添加評論

• Enter：提交您的答案並附加評論。如果您將欄位留空，Claude Code 會提交答案而不附加評論。
• Tab：關閉欄位而不回答。Claude Code 保留您輸入的文字，如果您使用該選項回答，仍會發送它。
• Shift+Tab：在檔案提示上，例如 Edit 或 Write 提示，關閉欄位與 Tab 相同。在 v2.1.235 之前，在欄位內按 Shift+Tab 會改為選擇允許操作用於工作階段其餘部分的選項，因此 Claude Code 批准操作用於工作階段其餘部分並丟棄評論。

• 是：Claude Code 執行操作，然後在結果後將您的評論發送給 Claude。
• 否：Claude Code 將您的評論作為拒絕原因發送給 Claude，Claude 繼續工作。如果您在主對話的提示上選擇否而沒有評論，Claude Code 會停止該輪次。

​

管理權限

• Allow 規則讓 Claude Code 使用指定的工具，無需手動批准。
• Ask 規則在 Claude Code 嘗試使用指定工具時提示確認。
• Deny 規則防止 Claude Code 使用指定的工具。

​

權限模式

​

權限規則語法

​

符合工具的所有使用

​

使用指定符進行細粒度控制

​

按輸入參數進行符合

• 參數名稱必須是工具輸入的直接欄位，例如 Agent 工具上的 model。巢狀在物件或陣列內的欄位不可符合
• 每個規則命名一個參數。若要在 model 和 isolation 上設定閘道，請寫入兩個規則 Agent(model:opus) 和 Agent(isolation:worktree)，而不是在一個規則中組合它們
• 值支援 * 作為符合任何字元序列的萬用字元，因此 Agent(isolation:*) 符合任何明確的隔離值。沒有 * 時，符合是確切的
• 模型省略的參數永遠不會被符合，因此 Agent(model:*) 不符合留下 model 未設定的呼叫
• 值與 Claude 傳送的字面輸入進行比較，在任何正規化之前。Agent(model:opus) 符合別名 opus 但不符合完整模型 ID。使用 --verbose 執行以查看每個工具呼叫中的確切參數名稱和值
• 冒號周圍的空格被忽略

​

萬用字元模式

{
  "permissions": {
    "allow": [
      "Bash(npm run *)",
      "Bash(git commit *)"
    ],
    "deny": [
      "Bash(git push *)"
    ]
  }
}

• * 代表其位置中的任何文字。 在 Bash(git * main) 中，它代表子命令，因此 Claude Code 符合每個 git 子命令和它之前的每個選項。這包括 -c，它使 git 執行您命名的程式。在 Bash(* --version) 中，* 代表程式，因此任何程式都符合。
• 末尾的 *（前面有空格）也符合裸命令。 Bash(ls *) 符合 ls，而 Bash(git log *) 符合 git log。這僅在尾部 * 是規則的唯一萬用字元時成立：Bash(* --help *) 符合 npm --help x 但不符合 npm --help。
• 尾部 * 前的空格是規則的一部分。 Bash(ls *) 在 ls 後需要空格，因此 lsof 不符合。Bash(ls*) 沒有空格，因此它也符合 lsof。

​

工具名稱萬用字元

{
  "permissions": {
    "deny": [
      "mcp__*"
    ]
  }
}

​

工具特定的權限規則

​

Bash

​

複合命令

​

包裝器

​

Bash 規則不符合的內容

​

唯讀命令

• 具有寫入能力旗標的命令的未引用 glob：具有寫入能力或執行能力旗標的命令，如 find、sort、sed 和 git，在存在未引用的 glob 時提示，因為 glob 可能會擴展為像 -delete 這樣的旗標。
• docker 指向另一個守護程序：唯讀形式的 docker 在命令帶有選擇不同守護程序的旗標時提示，如 -H、--context 或 Podman 的 --url 和 --connection。
• file 帶有路徑開啟旗標：file 在傳遞 -m/--magic-file 或 -f/--files-from 時提示，因為這些旗標使 file 開啟旗標值中命名的路徑。
• Windows 上的網路路徑：其引數包括網路 (UNC) 路徑（如 \\server\share\file）的命令會提示，因為存取網路路徑可能會將您的 Windows 認證傳送到它命名的主機。同樣的檢查適用於 PowerShell 工具命令。
• 分析無法解析的命令：當 Claude Code 無法完全解析命令時，它會要求批准而不是將命令視為唯讀。超過 10,000 個字元的命令始終提示，因為它們超過分析解析的內容。

• cd 與 git：當 cd 變更進入不同目錄時提示，因為在新目錄中執行 git 可能會執行該目錄的 hooks。其目標解析為目前工作目錄的 cd 是無操作的，不會觸發提示。
• cd 與重新導向：當 Claude Code 無法判斷重新導向目標在 cd 執行後針對哪個目錄解析時提示。其唯一重新導向目標是 /dev/null 的命令，如 cd app; grep -r pattern . 2>/dev/null，不會提示，因為 /dev/null 不依賴於工作目錄。

​

重新導向

• 輸出重新導向：對於 > file、>> file 或 2> file，檢查涵蓋您的 Edit 允許和 deny 規則、受保護的路徑和工作目錄。像 Bash(git commit *) 這樣的規則允許命令，而不是目標。以 ~ 開頭或包含 glob 字元的目標需要您的批准。
• 輸入重新導向：對於 < file，檢查涵蓋您的 Read 允許和 deny 規則以及工作目錄。工作目錄外的目標需要您的批准，除非允許規則涵蓋它。包含 glob 模式的目標或在同一命令中 cd 後面的相對路徑需要您的批准，即使允許規則涵蓋它。Claude Code 在 v2.1.257 及更新版本中檢查輸入目標。

​

PowerShell

{
  "permissions": {
    "allow": [
      "PowerShell(Get-ChildItem *)",
      "PowerShell(git commit *)"
    ],
    "deny": [
      "PowerShell(Remove-Item *)"
    ]
  }
}

​

Read 和 Edit

• Edit(/docs/**)：編輯 <primary working directory>/docs/ 中的檔案，而不是 /docs/ 或 <primary working directory>/.claude/docs/
• Read(~/.zshrc)：讀取您主目錄的 .zshrc
• Edit(//tmp/scratch.txt)：編輯絕對路徑 /tmp/scratch.txt
• Read(src/**)：作為允許規則，僅從 <current-directory>/src/ 讀取；作為 deny 或 ask 規則，符合目前目錄下任何深度的 src 目錄

• 允許規則：Edit(src/**) 僅符合 <cwd>/src 及其下的檔案。若要允許任何深度的目錄名稱，請編寫 Edit(**/src/**)。
• Deny 和 ask 規則：Read(secrets/**) 符合目前目錄下任何深度的名為 secrets 的目錄，所以規則也適用於嵌套副本。

<current-directory>/
├── src/
│   └── app.ts
└── vendor/
    └── pkg/
        └── src/
            └── lib.js

• Claude Code 讀取 ! 模式相對於目前目錄，即使 /、~/ 或 // 跟隨 !，所以模式無法到達以其中一個前綴錨定的規則。Read(!~/notes/public/**) 不切割 Read(~/notes/**) 中的任何內容。
• 切割出無法重新開啟規則整體阻止的目錄內的檔案。使用 Read(secrets/**) 和 Read(!secrets/public/**)，Claude Code 仍然阻止 secrets/public 以及 secrets 的其餘部分。

​

符號連結

• 允許規則：僅在符號連結路徑及其目標都符合時適用。允許目錄內的符號連結指向外部仍會提示您。
• Deny 規則：在符號連結路徑或其目標符合時適用。指向被拒絕檔案的符號連結本身被拒絕。例如，使用 Read(./project/**) 允許和 Read(~/.ssh/**) 拒絕，位於 ./project/key 指向 ~/.ssh/id_rsa 的符號連結被阻止：目標未通過允許規則且符合 deny 規則。

• 解析到工作目錄外：當請求的路徑在您的工作目錄內，而它解析到的檔案不在時，寫入在 acceptEdits 模式中不會自動批准。在自動模式中，除非允許規則批准寫入，否則您會被提示而不是分類器決定。提示會命名寫入解析到的路徑。
• 解析到請求的路徑不命名的受保護路徑：受保護的路徑表給出每個權限模式的結果，除了表將寫入路由到分類器的地方，此寫入會提示您。

​

WebFetch

• WebFetch(domain:example.com) 符合對 example.com 的請求
• WebFetch(domain:*.example.com) 符合任何深度的任何子網域，如 api.example.com 或 a.b.example.com，但不符合 example.com 本身
• WebFetch(domain:*) 符合每個網域。它與裸 WebFetch 規則不同；請參閱允許或拒絕每次擷取

​

允許或拒絕每次擷取

{
  "permissions": {
    "allow": ["WebFetch"]
  }
}

​

MCP

• mcp__puppeteer 符合由 puppeteer 伺服器提供的任何工具
• mcp__puppeteer__* 使用萬用字元語法，也符合來自 puppeteer 伺服器的所有工具
• mcp__puppeteer__puppeteer_navigate 符合由 puppeteer 伺服器提供的 puppeteer_navigate 工具

​

Agent（subagents）

• Agent(Explore) 符合 Explore subagent
• Agent(Plan) 符合 Plan subagent
• Agent(my-custom-agent) 符合名為 my-custom-agent 的自訂 subagent

{
  "permissions": {
    "deny": ["Agent(Explore)"]
  }
}

​

Cd

​

使用 hooks 擴展權限

​

工作目錄

• 在啟動期間：使用 --add-dir <path> CLI 引數
• 在工作階段期間：使用 /add-dir 命令
• 持久設定：新增到 settings files 中的 additionalDirectories

​

將工作階段移動到另一個目錄

• 其專案設定，包括其權限規則和 hooks
• 其 .mcp.json 伺服器，受限於與啟動時相同的伺服器核准，以及您在其中註冊的本機範圍 MCP 伺服器
• 其設定啟用的 plugins、其 skills 和其 subagents
• 其 env 值，套用在前一個目錄設定的環境變數之上，這些變數保持有效

​

其他目錄授予檔案存取權，而非設定

• 使用者級別設定：將檔案放在 ~/.claude/agents/、~/.claude/output-styles/ 或 ~/.claude/settings.json 中，使其在每個專案中可用
• Plugins：將設定打包並分發為 plugin，供團隊安裝
• 從設定目錄啟動：從包含您想要的 .claude/ 設定的目錄執行 Claude Code

​

權限如何與沙箱互動

• 權限控制 Claude Code 可以使用哪些工具以及它可以存取哪些檔案或網域。它們適用於 Bash、Read、Edit、WebFetch、MCP 和其他所有工具，除了 deny 或 ask 規則無法阻止 EndConversation，而任何其他工具仍然存在。
• 沙箱提供作業系統級別的強制執行，限制 shell 命令的檔案系統和網路存取。它僅適用於 Bash、PowerShell 和 Monitor 命令及其子程序。

• 內容範圍的 ask 規則（如 Bash(git push *)）仍然強制提示
• 明確的 deny 規則仍然適用
• 針對 critical path 的 rm 或 rmdir 命令仍然會通過常規權限流程

​

受管理設定

​

設定優先順序

​

專案允許規則和工作區信任

• 在儲存庫中，Claude Code 會在 git 儲存庫根目錄上鍵入信任，因此信任涵蓋整個儲存庫，除了任何巢狀在其中的 git 儲存庫（例如子模組）。在工作樹中，它使用主簽出的根目錄，就像它對已儲存規則所做的一樣。
• 在儲存庫外，Claude Code 會在您啟動它的目錄上鍵入信任，信任涵蓋該目錄的任何子目錄，除了巢狀在其中的 git 儲存庫（例如複製）。每個涵蓋的子目錄隨後都會計為一個您信任其父目錄的資料夾。
• 當您在主目錄中啟動時，Claude Code 只在目前工作階段內保持信任，不會將其寫入磁碟；請參閱額外保護措施說明。

​

當您的本機設定檔案需要信任時

• 在您的設定主目錄中： Claude Code 會立即套用該資料夾的 .claude/settings.local.json，無需執行 git。您的設定主目錄是您的主目錄，或是其 .claude 子目錄已被您設定為 CLAUDE_CONFIG_DIR 的目錄。如果該 CLAUDE_CONFIG_DIR 目錄位於 git 儲存庫內，且 Claude Code 改為將您的本機設定保留在儲存庫根目錄，它會像在其他地方一樣暫不套用這些規則。
• 其他任何地方： Claude Code 會像對待專案設定一樣暫不套用該檔案的規則。檢查執行後，Claude Code 會套用未追蹤檔案的規則，或位於任何 git 儲存庫外的目錄中的檔案的規則，即使您尚未信任該確切資料夾。

​

您信任資料夾前執行的內容

• 傳遞 --setting-sources user，或設定 SDK 的 settingSources 而不包含專案設定，以便 Claude Code 既不讀取專案的設定檔案也不讀取其 .mcp.json
• 使用 --bare 啟動，以便 Claude Code 不從專案讀取任何 hooks、技能、自訂命令、subagents、外掛程式或 .mcp.json 伺服器。專案的 env 區塊和輔助程式（例如其設定檔案中的 awsAuthRefresh）仍然適用，Claude Code 只從 --settings 讀取 apiKeyHelper
• 傳遞 --settings '{"disableAllHooks": true}' 以關閉該執行的 hooks。僅在您的使用者設定中設定它是不夠的，因為儲存庫的專案設定優先於您的設定，並且可以將其設定回 false
• 新增 disabledMcpjsonServers 項目以在每個工作階段類型中按名稱拒絕 .mcp.json 伺服器

​

範例設定

​

另請參閱

• 所有設定：每個設定鍵，包括權限鍵
• 設定自動模式：告訴自動模式分類器您的組織信任哪些基礎設施
• 沙箱隔離：Bash 命令的作業系統級別檔案系統和網路隔離
• 驗證：設定使用者對 Claude Code 的存取
• 安全性：安全防護措施和最佳實踐
• Hooks：自動化工作流程並擴展權限評估