权限模式

每种模式在便利性和监督之间做出不同的权衡。下表显示了在每种模式下 Claude 无需权限提示即可执行的操作

在 CLI 中、claude –help 中、VS Code 和 JetBrains 扩展中以及桌面应用中，审查每个操作的模式被命名为 Manual 。其配置值为 default

这是 hooks 和 SDK 集成使用的值

CLI 在任何地方都接受 manual 作为别名，例如 claude --permission-mode manual 或 "defaultMode": "manual"

Manual 标签和 manual 别名需要 Claude Code v2.1.200 或更高版本。桌面应用的标签不依赖于您的 CLI 版本

在除 bypassPermissions 之外的每种模式中，对受保护路径的写入永远不会自动批准，保护存储库状态和 Claude 自己的配置免受意外损坏

• 拒绝规则和显式询问规则适用于每种模式，包括 bypassPermission
• 允许规则在该模式中无效，因为其他所有内容都已被批准

可以在会话中途、启动时或作为持久默认值切换模式。模式通过这些控件设置，而不是通过在聊天中询问 Claude。选择下面的界面以查看如何更改它

acceptEdits 模式让 Claude 在工作目录中创建和编辑文件，无需提示

当此模式处于活动状态时，状态栏显示 accept edits on

除了文件编辑外，acceptEdits 模式还自动批准常见的文件系统 Bash 命令：mkdir、touch、rm、rmdir、mv、cp 和 sed

当这些命令带有安全环境变量（如 LANG=C 或 NO_COLOR=1）或

进程包装器（如 timeout、nice 或 nohup）作为前缀时，也会自动批准

与文件编辑一样，自动批准仅适用于工作目录或 additionalDirectories 内的路径

超出该范围的路径、对受保护路径的写入以及所有其他 Bash 命令（除了内置只读集合）仍然会提示

当启用 PowerShell tool 时，acceptEdits 模式还会自动批准 Set-Content、Add-Content、Clear-Content 和 Remove-Item 在范围内路径上的操作，以及它们的常见别名。相同的范围和受保护路径规则适用

当你想在编辑器中或通过 git diff 事后查看更改，而不是逐个批准每个编辑时，使用 acceptEdits

从 Manual 模式按一次 Shift+Tab 进入它，或直接启动它：

claude --permission-mode acceptEdits

Plan mode 告诉 Claude 研究并提议更改，但不进行实际编辑

• Claude 读取文件、运行 shell 命令进行探索并编写计划，但不编辑您的源代码

• 权限提示的应用方式与手动模式相同，除非 auto mode 可用且 useAutoModeDuringPlan 已启用（这是默认设置）

  启用 auto mode 后，分类器会批准只读命令（如搜索和文件读取）而无需提示
  
  无论哪种方式，编辑都会保持阻止状态，直到您批准计划
  

通过按 Shift+Tab 或在单个提示前加上 /plan 来进入 plan mode。也可以从 CLI 启动 plan mode：

claude --permission-mode plan

再次按 Shift+Tab 以退出 plan mode 而不批准计划

自动模式让 Claude 无需例行权限提示即可执行。一个独立的分类器模型在操作运行前审查它们，阻止任何超出您请求范围、针对无法识别的基础设施或看起来由 Claude 读取的恶意内容驱动的操作

显式的询问规则仍然会强制显示提示

+针对文件系统根目录或主目录的删除操作，如 rm -rf / 和 rm -rf ~，会提示批准而不是进入分类器
+
当命令包含带有 $(...) 或反引号的命令替换，或带有 <(...) 的进程替换时，此提示也会触发

无论删除是在替换内部（如 echo "$(rm -rf ~)"），还是在同一命令的其他地方

在 v2.1.208 之前，包含这些形式的命令进入分类器而不是提示

自动模式还会促使 Claude 继续工作而不停下来提出澄清问题，尽管当您的提示或技能明确依赖它时，Claude 仍然会询问。为了获得更强的自主行为同时保持权限提示，请改为设置 主动 输出风格

自动模式减少权限提示，但不保证安全

将其用于您信任总体方向的任务，而不是作为敏感操作审查的替代品

如果 Claude Code 报告自动模式不可用，则其中一个要求未满足；这不是暂时性中断

一条单独的消息，其中命名了一个模型并说自动模式”无法确定”操作的安全性，是暂时性分类器中断

请参阅错误参考 https://code.claude.com/docs/zh-CN/errors#auto-mode-cannot-determine-the-safety-of-an-action

如果在设置中设置 defaultMode: "auto"，并且会话以 default 模式启动且没有错误，则该设置可能在 .claude/settings.json 或 .claude/settings.local.json 中

Claude Code v2.1.142 及更高版本忽略来自这些文件的 auto

因此存储库无法授予自己自动模式，将其移至 ~/.claude/settings.json

如果设置 dontAsk 模式，Claude Code 会自动拒绝所有原本会提示的工具调用。Claude 仅运行与 permissions.allow 规则、 只读 Bash 命令 匹配的操作，以及由 PreToolUse hook 批准的调用。当此模式处于活动状态时，状态栏显示 ⏵⏵ don't ask on

在 CI 管道或受限环境中使用此模式，可以预先定义 Claude 可以执行的操作；会话永远不会等待输入

Claude Code 拒绝与 显式 ask 规则 匹配的调用，而不是提示。它还拒绝内置的 AskUserQuestion 工具和连接器工具组织设置为 ask，即使 allow 规则与其匹配

它以相同的方式拒绝标记有 _meta["anthropic/requiresUserInteraction"] 的 MCP 工具

因为其批准卡需要此模式永远不会收集的答案；这需要 Claude Code v2.1.199 或更高版本

Claude Code on the web 上的云会话会忽略 defaultMode: "dontAsk"

有关详细信息，请参阅 bypassPermissions

https://code.claude.com/docs/zh-CN/permission-modes#skip-all-checks-with-bypasspermissions-mode

在启动时使用标志设置它：

claude --permission-mode dontAsk

bypassPermissions 模式禁用权限提示和安全检查，以便工具调用立即执行，包括对受保护路径的写入

在 v2.1.126 之前，受保护路径的写入在此模式下仍会提示

显式的询问规则和连接器工具您的组织设置为 ask仍会在此模式下强制提示

标记有 _meta["anthropic/requiresUserInteraction"] 的 MCP 工具也仍会提示；这需要 Claude Code v2.1.199 或更高版本

针对文件系统根目录或主目录的删除操作，如 rm -rf / 和 rm -rf ~，仍会作为针对模型错误的断路器进行提示

• 当命令包含使用 $(…) 或反引号的命令替换
• 使用 <(…) 的进程替换时，断路器也会触发

无论删除操作位于替换内部（如 echo "$(rm -rf ~)"），还是位于同一命令中的其他位置

纯形式（作为其自己的命令输入）自断路器引入以来在此模式下已提示

在 v2.1.208 之前，包含这些形式的命令不会提示

无法从未使用启用标志启动的会话进入 bypassPermissions；使用以下标志重新启动以启用它：

claude --permission-mode bypassPermissions

# --dangerously-skip-permissions 标志是等效的

在 Linux 和 macOS 上，当以 root 身份或在 sudo 下运行时，Claude Code 拒绝以此模式启动：

--dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons

该检查在识别的沙箱内自动跳过。要在容器中自主运行，请使用开发容器配置，该配置以非 root 用户身份运行 Claude Code

仅在隔离环境（如容器、虚拟机或没有互联网访问的开发容器）中使用此模式

其中 Claude Code 无法损害您的主机系统

网络上的 Claude Code 不遵守设置文件中的 defaultMode: "bypassPermissions" 或 "dontAsk"，因此存储库的签入设置无法在绕过权限模式下启动云会话。该设置被静默忽略，会话改为以模式下拉菜单中显示的模式启动。有关云会话提供的模式，请参阅切换权限模式

bypassPermissions 不提供针对提示注入或意外操作的保护

为了获得背景安全检查且权限提示大幅减少，请改用自动模式

管理员可以通过在托管设置中将 permissions.disableBypassPermissionsMode 设置为 "disable" 来阻止此模式

在除 bypassPermissions 之外的所有模式中，对一小组路径的写入永远不会自动批准。这可以防止意外损坏存储库状态和 Claude 自己的配置

设置文件中的 permissions.allow 规则不会预先批准受保护路径的写入

• 安全检查在 Claude Code 评估设置中的允许规则之前运行，因此 ~/.claude/settings.json 或 .claude/settings.json 中的条目（如 Edit(.claude/**)）不会改变上表中的每个模式结果
• 在提示的模式中，.claude/ 写入的提示，*允许 Claude 在此会话中编辑其自己的设置* ，这会在该会话中批准后续的 .claude/ 写入而无需再次提示

受保护的目录：

• .git
• .config/git
• .vscode
• .idea
• .husky
• .cargo
• .devcontainer
• .yarn
• .mvn

• .claude

  除了 .claude/worktrees，Claude 在其中存储自己的 git worktrees
  

受保护的文件：

• .gitconfig、.gitmodules
• .bashrc、.bash_profile、.bash_login、.bash_aliases、.bash_logout、.zshrc、.zprofile、.zshenv、.zlogin、.zlogout、.profile、.envrc
• .npmrc、.yarnrc、.yarnrc.yml、.pnp.cjs、.pnp.loader.mjs、.pnpmfile.cjs、bunfig.toml、.bunfig.toml
• .bazelrc、.bazelversion、.bazeliskrc
• .pre-commit-config.yaml、lefthook.yml、lefthook.yaml、.lefthook.yml、.lefthook.yaml
• gradle-wrapper.properties、maven-wrapper.properties
• .devcontainer.json
• .ripgreprc、pyrightconfig.json
• .mcp.json、.claude.json