Claude Code 权限

可复现实践

设计 read-first 权限配置并验证拒绝路径

从 plan mode 开始，只允许必要检查工具，拒绝读取秘密，并在实现前验证拒绝确实可见。

准备

• 允许在所有真实仓库之外创建一次性目录的 shell 会话。
• 不含真实秘密的 placeholder .env；不得在已有 settings 上运行本练习。
• 列出任务实际需要的命令。

执行步骤

1. 创建一次性仓库和 local-only deny rule

   先创建唯一临时仓库，再拒绝读取 .env；命令不会打开或覆盖已有仓库的 settings。

   PERMISSION_LAB=$(mktemp -d "${TMPDIR:-/tmp}/claude-permissions.XXXXXX")
   printf '%s\n' "$PERMISSION_LAB"
   cd "$PERMISSION_LAB"
   git init -q
   mkdir .claude
   printf '%s\n' '{"permissions":{"deny":["Read(.env)"]}}' > .claude/settings.local.json
   printf '%s\n' 'placeholder-only' > .env

2. 验证配置语法

   可解析是必要条件，但不证明 rule 行为。

   jq -e . .claude/settings.local.json >/dev/null

3. 用窄工具和 plan mode 启动

   允许研究需要的读取和搜索，不启用编辑。

   claude --permission-mode plan --allowedTools "Read" "Grep" "Bash(git status --short)"

4. 覆盖允许和拒绝路径

   先请求读取正常源码，再请求读取 .env；第二个请求应被 deny rule 阻止。

预期结果

正常检查可用，秘密路径请求被拒绝，plan mode 中不发生文件编辑。

验证

• 检查真实 permission prompt 或 denial，不依赖模型叙述。
• 运行 git status，确认只有预期 local settings 和 fixture 变化。
• 每个新增 allowed tool 都应对应任务真实需要。

失败处理

清理或回退

• 返回原目录，确认 PERMISSION_LAB 是刚才打印的 mktemp 路径，只删除该一次性目录。
• 为不同任务扩大权限前先退出当前会话。

边界与不适用场景

• 任意 scope 的 deny 都优先于 allow 和 hooks。
• plan mode 和 permission rules 属于应用控制，不能替代 OS 隔离和秘密管理。