权限系统

只有纯读操作（FileRead、GrepTool、GlobTool 等）被自动批准。所有写操作（编辑文件、创建文件、删除文件）和所有命令执行（Bash）都需要用户逐一确认。

体验：非常安全，但频繁弹出确认框会打断工作流。适合刚开始使用 Claude Code 时建立信任。

典型交互：

Claude 想要编辑 src/index.ts
  [y] 允许  [n] 拒绝  [a] 允许同类操作  [d] 拒绝同类操作

在 default 的基础上，额外自动批准文件编辑操作（Edit、Write、NotebookEdit 等）。

适合：你信任 Claude 修改代码的能力，但仍然希望在它执行 shell 命令前确认。这是很多开发者的甜蜜点。

不自动批准的：Bash 命令执行、文件删除等可能有不可逆副作用的操作。

这不仅仅是一个权限模式——它改变了 Claude 的工作方式。详见下方 Plan Mode 的工作方式。

自动批准的：

• 文件读取
• 探索性命令（grep、find、ls 等不产生副作用的命令）
• 写计划文档

不自动批准的：

• 修改业务代码
• 执行有副作用的命令（npm install、git commit 等）

几乎所有操作都自动批准，但有一层 Bash classifier 安全检查：

• 系统内置一个轻量级分类器，实时判断每个 Bash 命令的风险等级
• 低风险命令（编译、测试、格式化）直接放行
• 高风险命令（rm -rf、git push --force、涉及网络的命令）会被拦截并要求确认

适合：日常开发中追求效率，同时保留最后一道安全防线。大多数资深用户使用此模式。

只允许预定义的动作集合，超出范围的操作不会询问用户而是直接拒绝或排队等待。

适合：CI/CD 集成、自动化脚本中需要精确控制 Claude 能做什么的场景。配合 --allowedTools 参数使用效果最佳。

所有操作无条件通过，不经过任何安全检查。

权限系统不是按顺序检查每个决策源的。它使用 createResolveOnce 模式：所有决策源被同时激活，谁先返回有效结果谁赢。

为什么这样设计？

• 性能：不需要等所有源都返回才做决定
• 用户体验：如果 Hooks 或规则能快速决策，用户就不需要看到确认框
• 灵活性：不同源可以互相「抢答」

实际优先顺序：

1. Hooks 通常最先返回（本地脚本执行快）
2. Allow/Deny 静态规则（简单的模式匹配）
3. Bash classifier（需要约 200ms）
4. 用户交互（等待人类操作，最慢）

在 auto 模式下，当 Bash classifier 正在分析命令风险时，系统会等待最多 200ms。这个短暂的延迟是为了让 classifier 有机会拦截危险命令，而不是直接放行。

如果 200ms 内 classifier 没有返回：系统会回退到权限模式的默认行为（auto 模式下通常是放行）。

如果 Hooks 在 200ms 内先返回了：classifier 的结果会被忽略，因为 createResolveOnce 已经被 resolve 了。

当用户在确认框中选择了 [a] allow all similar 时，系统会记住这个决策，后续同类操作自动批准。

• 持久化范围：当前会话内有效。新会话需要重新确认（除非配置了 Allow 规则）
• 「同类」的定义：工具名相同 + 关键参数匹配模式相同（如同一类 Bash 命令）
• 撤销方式：/permissions 面板可以查看和管理所有已保存的决策

# 允许常见的开发命令
Allow Bash(npm test)
Allow Bash(npm run lint)
Allow Bash(npm run build)
Allow Bash(npx prisma generate)
Allow Bash(git status)
Allow Bash(git diff *)
Allow Bash(git log *)

# 禁止危险命令
Deny Bash(rm -rf *)
Deny Bash(git push --force *)
Deny Bash(git reset --hard *)
Deny Bash(curl * | sh)
Deny Bash(wget * | sh)

# 允许编辑特定目录
Allow Edit(src/**)
Allow Edit(tests/**)

# 禁止编辑配置文件
Deny Edit(.env*)
Deny Edit(*.pem)
Deny Edit(*credentials*)

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "command": "python3 ~/.claude/hooks/check_bash_safety.py"
      },
      {
        "matcher": "Edit",
        "command": "node ~/.claude/hooks/validate_edit.js"
      }
    ],
    "PostToolUse": [
      {
        "matcher": "Edit",
        "command": "npx prettier --write $FILE_PATH"
      },
      {
        "matcher": "Bash",
        "command": "python3 ~/.claude/hooks/audit_log.py"
      }
    ]
  }
}

matcher 字段：指定此 Hook 监听的工具名称。可以是具体工具名（如 Bash、Edit），也可以用通配符匹配多个工具。

command 字段：要执行的脚本或命令。脚本通过标准输入（stdin）接收工具调用的详细信息（JSON 格式），通过标准输出（stdout）返回决策。

#!/usr/bin/env python3
# ~/.claude/hooks/check_bash_safety.py
# 检查 Bash 命令是否安全

import sys, json

# 从 stdin 读取工具调用信息
input_data = json.loads(sys.stdin.read())
command = input_data.get("tool_input", {}).get("command", "")

# 定义危险模式
dangerous_patterns = [
    "rm -rf /",
    "curl.*| sh",
    "wget.*| bash",
    "> /dev/sda",
    "mkfs",
    "dd if=",
]

for pattern in dangerous_patterns:
    if pattern in command:
        # 返回 deny 决策
        json.dump({
            "decision": "deny",
            "reason": f"命令包含危险模式: {pattern}"
        }, sys.stdout)
        sys.exit(0)

# 没有匹配到危险模式，不做决策（继续正常流程）
json.dump({}, sys.stdout)
sys.exit(0)