4 4
5# 选择权限模式5# 选择权限模式
6 6
7> 控制 Claude 在编辑文件或运行命令前是否询问。在 CLI 中使用 Shift+Tab 循环切换模式，或在 VS Code、Desktop 和 claude.ai 中使用模式选择器。7> 控制 Claude 在编辑文件或运行命令前是否需要征求您的同意。在 CLI 中使用 Shift+Tab 循环切换模式，或在 VS Code、Desktop 和 claude.ai 中使用模式选择器。
8 8
9当 Claude 想要编辑文件、运行 shell 命令或发出网络请求时，它会暂停并要求您批准该操作。权限模式控制暂停发生的频率。您选择的模式塑造了会话的流程：Manual mode 让您在操作进行时审查每个操作，而更宽松的模式让 Claude 在更长的不间断时间内工作，然后报告完成情况。为敏感工作选择更多监督，或在您信任方向时选择更少中断。9当 Claude 想要编辑文件、运行 shell 命令或发起网络请求时，它会暂停并要求您批准该操作。权限模式控制暂停发生的频率。您选择的模式决定了会话的流程：Manual 模式让您逐个审查每个操作，而更宽松的模式让 Claude 能够进行更长时间的不间断工作，并在完成后报告结果。对于敏感工作选择更多的监督，或在您信任工作方向时选择更少的中断。
10 10
11<h2 id="available-modes">11<h2 id="available-modes">
12 可用模式12 可用模式
13</h2>13</h2>
14 14
15每种模式在便利性和监督之间做出不同的权衡。下表显示了在每种模式中 Claude 无需权限提示即可执行的操作。15每种模式在便利性和监督之间做出不同的权衡。下表显示了在每种模式下 Claude 无需权限提示即可执行的操作。
16 16
17| 模式 | 无需询问即可运行的操作 | 最适合 |17| 模式 | 无需询问即可运行 | 最适合 |
18| :------------------------------------------------------------------ | :-------------------------------------------- | :----------- |18| :------------------------------------------------------------------ | :-------------------------------------------- | :--------- |
19| `default` | 仅读取。在 CLI 和 IDE 扩展中标记为 **Manual** | 入门、敏感工作 |19| `default` | 仅读取 | 入门、敏感工作 |
20| [`acceptEdits`](#auto-approve-file-edits-with-acceptedits-mode) | 读取、文件编辑和常见文件系统命令（`mkdir`、`touch`、`mv`、`cp` 等） | 迭代您正在审查的代码 |20| [`acceptEdits`](#auto-approve-file-edits-with-acceptedits-mode) | 读取、文件编辑和常见文件系统命令（`mkdir`、`touch`、`mv`、`cp` 等） | 迭代审查的代码 |
21| [`plan`](#analyze-before-you-edit-with-plan-mode) | 仅读取 | 在更改代码库前进行探索 |21| [`plan`](#analyze-before-you-edit-with-plan-mode) | 仅读取 | 在更改前探索代码库 |
22| [`auto`](#eliminate-prompts-with-auto-mode) | 所有操作，带后台安全检查 | 长时间任务、减少提示疲劳 |22| [`auto`](#eliminate-prompts-with-auto-mode) | 所有操作，带有后台安全检查 | 长任务、减少提示疲劳 |
23| [`dontAsk`](#allow-only-pre-approved-tools-with-dontask-mode) | 仅预先批准的工具 | 锁定的 CI 和脚本 |23| [`dontAsk`](#allow-only-pre-approved-tools-with-dontask-mode) | 仅预先批准的工具 | 锁定的 CI 和脚本 |
24| [`bypassPermissions`](#skip-all-checks-with-bypasspermissions-mode) | 所有操作 | 仅隔离容器和 VM |24| [`bypassPermissions`](#skip-all-checks-with-bypasspermissions-mode) | 所有操作 | 仅限隔离容器和虚拟机 |
25 25
26在 CLI、`claude --help` 中以及 VS Code 和 JetBrains 扩展中，审查每个操作的模式被命名为 **Manual**。其配置值为 `default`，这是 hooks 和 SDK 集成使用的值。CLI 在您输入值的任何地方都接受 `manual` 作为别名，例如 `claude --permission-mode manual` 或 `"defaultMode": "manual"`。Manual 标签和 `manual` 别名需要 Claude Code v2.1.200 或更高版本。26在 CLI 中、`claude --help` 中、VS Code 和 JetBrains 扩展中以及桌面应用中，审查每个操作的模式被命名为 **Manual**。其配置值为 `default`，这是 hooks 和 SDK 集成使用的值。CLI 在任何地方都接受 `manual` 作为别名，例如 `claude --permission-mode manual` 或 `"defaultMode": "manual"`。Manual 标签和 `manual` 别名需要 Claude Code v2.1.200 或更高版本。桌面应用的标签不依赖于您的 CLI 版本。
27 27
28在除 `bypassPermissions` 外的每种模式中，对[受保护路径](#protected-paths)的写入永远不会自动批准，保护仓库状态和 Claude 自己的配置免受意外破坏。28在除 `bypassPermissions` 之外的每种模式中，对[受保护路径](#protected-paths)的写入永远不会自动批准，保护存储库状态和 Claude 自己的配置免受意外损坏。
29 29
30模式设置基线。在顶部分层[权限规则](/zh-CN/permissions#manage-permissions)以预先批准或阻止特定工具。拒绝规则和显式询问规则适用于每种模式，包括 `bypassPermissions`。允许规则在该模式中无效，因为其他所有操作都已被批准。30模式设置基线。在顶部分层[权限规则](/zh-CN/permissions#manage-permissions)以预先批准或阻止特定工具。拒绝规则和显式询问规则适用于每种模式，包括 `bypassPermissions`。允许规则在该模式中无效，因为其他所有内容都已被批准。
31 31
32<h2 id="switch-permission-modes">32<h2 id="switch-permission-modes">
33 切换权限模式33 切换权限模式
34</h2>34</h2>
35 35
36您可以在会话期间、启动时或作为持久默认设置切换模式。模式通过这些控制设置，而不是通过在聊天中询问 Claude。选择下面的您的界面以查看如何更改它。36您可以在会话中途、启动时或作为持久默认值切换模式。模式通过这些控件设置，而不是通过在聊天中询问 Claude。选择下面的界面以查看如何更改它。
37 37
38<Tabs>38<Tabs>
39 <Tab title="CLI">39 <Tab title="CLI">
40 **在会话期间**：按 `Shift+Tab` 循环切换 `default` → `acceptEdits` → `plan`。当前模式显示在状态栏中。{/* min-version: 2.1.203 */}Manual 模式（即循环中的 `default`）显示灰色的 `⏸ manual mode on` 徽章。在 v2.1.203 之前，状态栏在 Manual 模式下不显示徽章。40 **在会话期间**：按 `Shift+Tab` 循环切换 `default` → `acceptEdits` → `plan`。当前模式显示在状态栏中。{/* min-version: 2.1.203 */}手动模式（该循环中的 `default`）显示灰色的 `⏸ manual mode on` 徽章。在 v2.1.203 之前，状态栏在手动模式下不显示徽章。
41 41
42 并非每种模式都在默认循环中：42 并非每个模式都在默认循环中：
43 43
44 * `auto`：当您的账户满足 [auto mode 要求](#eliminate-prompts-with-auto-mode)时出现；循环到它会在不确认提示的情况下切换模式44 * `auto`：当您的账户满足 [auto 模式要求](#eliminate-prompts-with-auto-mode) 时出现；循环切换到它会在没有确认提示的情况下切换模式
45 * `bypassPermissions`：在您使用 `--permission-mode bypassPermissions`、`--dangerously-skip-permissions` 或 `--allow-dangerously-skip-permissions` 启动后出现；`--allow-` 变体将模式添加到循环中而不激活它45 * `bypassPermissions`：在您使用 `--permission-mode bypassPermissions`、`--dangerously-skip-permissions` 或 `--allow-dangerously-skip-permissions` 启动后出现；`--allow-` 变体会将模式添加到循环中而不激活它
46 * `dontAsk`：永远不会出现在循环中；使用 `--permission-mode dontAsk` 设置它46 * `dontAsk`：永远不会在循环中出现；使用 `--permission-mode dontAsk` 设置它
47 47
48 启用的可选模式在 `plan` 之后插入，`bypassPermissions` 优先，`auto` 最后。如果您同时启用了两者，您将在前往 `auto` 的途中循环通过 `bypassPermissions`。48 启用的可选模式在 `plan` 之后插入，`bypassPermissions` 优先，`auto` 最后。如果您同时启用了两者，您将在循环到 `auto` 的途中循环通过 `bypassPermissions`。
49 49
50 **启动时**：将模式作为标志传递。50 **在启动时**：将模式作为标志传递。
51 51
52 ```bash theme={null}52 ```bash theme={null}
53 claude --permission-mode plan53 claude --permission-mode plan
54 ```54 ```
55 55
56 **作为默认设置**：在[设置](/zh-CN/settings#settings-files)中设置 `defaultMode`。56 **作为默认值**：在 [设置](/zh-CN/settings#settings-files) 中设置 `defaultMode`。
57 57
58 ```json theme={null}58 ```json theme={null}
59 {59 {
63 }63 }
64 ```64 ```
65 65
66 相同的 `--permission-mode` 标志适用于 `-p` [非交互式运行](/zh-CN/headless)。66 相同的 `--permission-mode` 标志适用于 `-p` 用于 [非交互式运行](/zh-CN/headless)。
67 </Tab>67 </Tab>
68 68
69 <Tab title="VS Code">69 <Tab title="VS Code">
70 **在会话期间**：单击提示框底部的模式指示器。70 **在会话期间**：点击提示框底部的模式指示器。
71 71
72 **作为默认设置**：在 VS Code 设置中设置 `claudeCode.initialPermissionMode`，或使用 Claude Code 扩展设置面板。72 **作为默认值**：在 VS Code 设置中设置 `claudeCode.initialPermissionMode`，或使用 Claude Code 扩展设置面板。
73 73
74 模式指示器显示这些标签，映射到每个标签应用的模式：74 模式指示器显示这些标签，映射到每个标签应用的模式：
75 75
83 83
84 在 v2.1.205 之前，扩展将 `plan` 标记为 Plan mode，将 `auto` 标记为 Auto mode。84 在 v2.1.205 之前，扩展将 `plan` 标记为 Plan mode，将 `auto` 标记为 Auto mode。
85 85
86 当您的账户满足 [auto mode 部分](#eliminate-prompts-with-auto-mode)中列出的每个要求时，Auto mode 出现在模式指示器中。`claudeCode.initialPermissionMode` 设置不接受 `auto`。要默认以 auto mode 启动，请改为在您的[用户设置](/zh-CN/settings#settings-files)中设置 `defaultMode`。Claude Code 忽略项目和本地设置中的 `defaultMode: "auto"`。86 当您的账户满足 [auto 模式部分](#eliminate-prompts-with-auto-mode) 中列出的每项要求时，Auto 模式会在模式指示器中出现。`claudeCode.initialPermissionMode` 设置不接受 `auto`。要默认以 auto 模式启动，请改为在您的 [用户设置](/zh-CN/settings#settings-files) 中设置 `defaultMode`。Claude Code 忽略项目和本地设置中的 `defaultMode: "auto"`。
87 87
88 Bypass permissions 需要扩展设置中的**允许危险地跳过权限**切换才能在模式指示器中出现。88 绕过权限需要扩展设置中的 **Allow dangerously skip permissions** 切换，然后才能在模式指示器中出现。
89 89
90 有关扩展特定的详细信息，请参阅 [VS Code 指南](/zh-CN/vs-code)。90 有关扩展特定的详细信息，请参阅 [VS Code 指南](/zh-CN/vs-code)。
91 </Tab>91 </Tab>
95 </Tab>95 </Tab>
96 96
97 <Tab title="Desktop">97 <Tab title="Desktop">
98 使用发送按钮旁边的模式选择器。Auto 和 Bypass permissions 仅在您在 Desktop 设置中启用它们后出现。请参阅 [Desktop 指南](/zh-CN/desktop#choose-a-permission-mode)。98 **在会话期间**：使用发送按钮旁边的模式选择器。并非每个模式都出现在选择器中：
99
100 * **Auto**：当您的账户满足 [auto 模式要求](#eliminate-prompts-with-auto-mode) 时出现
101 * **Bypass permissions**：在 Pro 和 Max 计划上需要 Desktop 设置中的 **Allow bypass permissions mode** 切换；在 Team 和 Enterprise 计划上，组织策略控制它
102
103 有关 desktop 特定的详细信息，请参阅 Desktop 指南中的 [选择权限模式](/zh-CN/desktop#choose-a-permission-mode)。
104
105 **作为默认值**：在 [设置](/zh-CN/settings#settings-files) 中设置 `defaultMode`。桌面应用读取与 CLI 相同的设置文件，并将模式应用于新的本地会话。
106
107 您在模式选择器中选择的模式会按文件夹记住，并对该文件夹优先于 `defaultMode`。Plan 是例外：选择它仅适用于当前会话。
108
109 此示例将 Plan 模式设置为新本地会话的默认值：
110
111 ```json theme={null}
112 {
113 "permissions": {
114 "defaultMode": "plan"
115 }
116 }
117 ```
99 </Tab>118 </Tab>
100 119
101 <Tab title="Web and mobile">120 <Tab title="Web and mobile">
102 在 [claude.ai/code](https://claude.ai/code) 或移动应用中使用提示框旁边的模式下拉菜单。权限提示出现在 claude.ai 中以供批准。哪些模式出现取决于会话在哪里运行：121 在 [claude.ai/code](https://claude.ai/code) 或移动应用中使用提示框旁边的模式下拉菜单。权限提示出现在 claude.ai 中以供批准。显示哪些模式取决于会话在何处运行：
103 122
104 * **云会话**在 [Claude Code on the web](/zh-CN/claude-code-on-the-web)：Accept edits、Plan 和 Auto。Accept edits 对应于 `default` 模式：云环境预先批准文件编辑，无论模式如何，因此下拉菜单显示 Accept edits 而不是 Manual。来自设置的 `defaultMode: "acceptEdits"` 仍然被遵守。Auto mode 仅在您的组织允许且所选模型支持时出现。Bypass permissions 不可用。123 * **Cloud sessions** 在 [Claude Code on the web](/zh-CN/claude-code-on-the-web) 上：Accept edits、Plan 和 Auto。Accept edits 对应于 `default` 模式：云环境预先批准文件编辑，无论模式如何，因此下拉菜单显示 Accept edits 而不是 Manual。Cloud sessions 仍然遵守设置中的 `defaultMode: "acceptEdits"`。Auto 模式仅在您的组织允许且所选模型支持时出现。Bypass permissions 不可用。
105 * **[Remote Control](/zh-CN/remote-control) 会话**在您的本地机器上：Manual、Accept edits 和 Plan。您无法从应用中选择 Auto 或 Bypass permissions。{/* min-version: 2.1.202 */}下拉菜单显示本地会话所在的模式，包括从终端设置的模式，并在应用或终端中模式更改时更新。唯一的例外是 Bypass permissions：会话永远不会向 claude.ai 报告该模式，因此从终端切换到它不会改变下拉菜单显示的内容。在 v2.1.202 之前，使用 `/remote-control` 或 `claude --remote-control` 连接的会话根本不报告其模式，因此 claude.ai 和移动应用可能显示会话不在的模式。不匹配仅影响标签：Claude Code 从会话的实际模式生成权限提示，仍然出现在应用中以供批准。124 * **[Remote Control](/zh-CN/remote-control) sessions** 在您的本地机器上：Manual、Accept edits 和 Plan。您无法从应用中选择 Auto 或 Bypass permissions。{/* min-version: 2.1.202 */}下拉菜单显示本地会话所在的模式，包括从终端设置的模式，并在应用或终端中模式更改时更新。唯一的例外是 Bypass permissions：会话永远不会向 claude.ai 报告该模式，因此从终端切换到它不会改变下拉菜单显示的内容。在 v2.1.202 之前，使用 `/remote-control` 或 `claude --remote-control` 连接的会话根本不报告其模式，因此 claude.ai 和移动应用可能显示会话不在的模式。不匹配仅影响标签：Claude Code 从会话的实际模式生成权限提示，它们仍然出现在应用中以供批准。
106 125
107 对于 Remote Control，您也可以在启动主机时设置起始模式：126 对于 Remote Control，您还可以在启动主机时设置起始模式：
108 127
109 ```bash theme={null}128 ```bash theme={null}
110 claude remote-control --permission-mode acceptEdits129 claude remote-control --permission-mode acceptEdits
113</Tabs>132</Tabs>
114 133
115<h2 id="auto-approve-file-edits-with-acceptedits-mode">134<h2 id="auto-approve-file-edits-with-acceptedits-mode">
116 使用 acceptEdits mode 自动批准文件编辑135 使用 acceptEdits 模式自动批准文件编辑
117</h2>136</h2>
118 137
119`acceptEdits` mode 让 Claude 在您的工作目录中创建和编辑文件而无需提示。状态栏显示 `⏵⏵ accept edits on` 当此模式处于活动状态时。138`acceptEdits` 模式让 Claude 在你的工作目录中创建和编辑文件，无需提示。当此模式处于活动状态时，状态栏显示 `⏵⏵ accept edits on`。
139
140除了文件编辑外，`acceptEdits` 模式还自动批准常见的文件系统 Bash 命令：`mkdir`、`touch`、`rm`、`rmdir`、`mv`、`cp` 和 `sed`。当这些命令带有安全环境变量（如 `LANG=C` 或 `NO_COLOR=1`）或进程包装器（如 `timeout`、`nice` 或 `nohup`）作为前缀时，也会自动批准。与文件编辑一样，自动批准仅适用于工作目录或 `additionalDirectories` 内的路径。超出该范围的路径、对[受保护路径](#protected-paths)的写入以及所有其他 Bash 命令仍然会提示。
120 141
121除了文件编辑外，`acceptEdits` mode 自动批准常见的文件系统 Bash 命令：`mkdir`、`touch`、`rm`、`rmdir`、`mv`、`cp` 和 `sed`。这些命令在以安全环境变量（如 `LANG=C` 或 `NO_COLOR=1`）或进程包装器（如 `timeout`、`nice` 或 `nohup`）为前缀时也会自动批准。与文件编辑一样，自动批准仅适用于您的工作目录或 `additionalDirectories` 内的路径。该范围外的路径、对[受保护路径](#protected-paths)的写入和所有其他 Bash 命令仍然会提示。142当启用 [PowerShell tool](/zh-CN/tools-reference#powershell-tool) 时，`acceptEdits` 模式还会自动批准 `Set-Content`、`Add-Content`、`Clear-Content` 和 `Remove-Item` 在范围内路径上的操作，以及它们的常见别名。相同的范围和受保护路径规则适用。
122 143
123当启用 [PowerShell tool](/zh-CN/tools-reference#powershell-tool) 时，`acceptEdits` mode 也会自动批准 `Set-Content`、`Add-Content`、`Clear-Content` 和 `Remove-Item` 在范围内的路径上，以及它们的常见别名。相同的范围和受保护路径规则适用。144当你想在编辑器中或通过 `git diff` 事后查看更改，而不是逐个批准每个编辑时，使用 `acceptEdits`。
124 145
125当您想在编辑器中或通过 `git diff` 之后审查更改而不是逐个批准每个编辑时，使用 `acceptEdits`。从 Manual mode 按 `Shift+Tab` 一次进入它，或直接启动它：146从 Manual 模式按一次 `Shift+Tab` 进入它，或直接启动它：
126 147
127```bash theme={null}148```bash theme={null}
128claude --permission-mode acceptEdits149claude --permission-mode acceptEdits
132 使用 plan mode 在编辑前进行分析153 使用 plan mode 在编辑前进行分析
133</h2>154</h2>
134 155
135Plan mode 告诉 Claude 研究并提议更改而不进行更改。Claude 读取文件、运行 shell 命令进行探索，并编写计划，但不编辑您的源代码。权限提示的应用方式与手动模式相同，除非 [auto mode](/zh-CN/auto-mode-config) 可用且 `useAutoModeDuringPlan` 已启用（这是默认设置）。启用 auto mode 后，分类器会批准只读命令（如搜索和文件读取）而无需提示。无论哪种方式，编辑都会保持阻止状态，直到您批准计划。156Plan mode 告诉 Claude 研究并提议更改，但不进行实际编辑。Claude 读取文件、运行 shell 命令进行探索并编写计划，但不编辑您的源代码。权限提示的应用方式与手动模式相同，除非 [auto mode](/zh-CN/auto-mode-config) 可用且 `useAutoModeDuringPlan` 已启用（这是默认设置）。启用 auto mode 后，分类器会批准只读命令（如搜索和文件读取）而无需提示。无论哪种方式，编辑都会保持阻止状态，直到您批准计划。
136 157
137通过按 `Shift+Tab` 或在单个提示前加上 `/plan` 进入 plan mode。您也可以从 CLI 以 plan mode 启动：158通过按 `Shift+Tab` 或在单个提示前加上 `/plan` 来进入 plan mode。您也可以从 CLI 启动 plan mode：
138 159
139```bash theme={null}160```bash theme={null}
140claude --permission-mode plan161claude --permission-mode plan
141```162```
142 163
143再次按 `Shift+Tab` 离开 plan mode 而不批准计划。164再次按 `Shift+Tab` 以退出 plan mode 而不批准计划。
144 165
145<h3 id="review-and-approve-a-plan">166<h3 id="review-and-approve-a-plan">
146 审查并批准计划167 审查并批准计划
147</h3>168</h3>
148 169
149当计划准备好时，Claude 呈现它并询问如何继续。从该提示您可以：170当计划准备好时，Claude 会呈现它并询问如何继续。从该提示中，您可以：
150 171
151* 批准并在 auto mode 中启动172* 批准并在 auto mode 中启动
152* 批准并接受编辑173* 批准并接受编辑
153* 批准并手动审查每个编辑174* 批准并手动审查每个编辑
154* 继续规划并提供反馈175* 继续规划并提供反馈
155* 使用 [Ultraplan](/zh-CN/ultraplan) 进行基于浏览器的审查进行细化176* 使用 [Ultraplan](/zh-CN/ultraplan) 进行基于浏览器的审查
156 177
157批准计划会退出 plan mode 并将会话切换到每个批准选项描述的权限模式，因此 Claude 开始编辑。要再次规划，使用 `Shift+Tab` 循环回到 plan mode，或在下一个提示前加上 `/plan`。178批准计划会退出 plan mode 并将会话切换到每个批准选项描述的权限模式，因此 Claude 开始编辑。要再次规划，使用 `Shift+Tab` 循环回到 plan mode，或在下一个提示前加上 `/plan`。
158 179
159按 `Ctrl+G` 在您的默认文本编辑器中打开提议的计划并在 Claude 继续之前直接编辑它。当启用 [`showClearContextOnPlanAccept`](/zh-CN/settings#available-settings) 时，每个批准选项也提供首先清除规划上下文的选项。180按 `Ctrl+G` 在默认文本编辑器中打开建议的计划并在 Claude 继续之前直接编辑它。当启用 [`showClearContextOnPlanAccept`](/zh-CN/settings#available-settings) 时，每个批准选项也会提供在首先清除规划上下文的选项。
160 181
161接受计划也会根据计划内容自动命名会话，除非您已经使用 `--name` 或 `/rename` 设置了名称。182接受计划也会根据计划内容自动命名会话，除非您已经使用 `--name` 或 `/rename` 设置了名称。
162 183
175```196```
176 197
177<h2 id="eliminate-prompts-with-auto-mode">198<h2 id="eliminate-prompts-with-auto-mode">
178 使用 auto mode 消除提示199 使用自动模式消除权限提示
179</h2>200</h2>
180 201
181Auto mode 让 Claude 执行而无需例行权限提示。一个单独的分类器模型在操作运行前审查操作，阻止任何超出您请求范围的操作、针对无法识别的基础设施的操作，或似乎由 Claude 读到的恶意内容驱动的操作。显式[询问规则](/zh-CN/permissions#manage-permissions)仍然会强制提示。202自动模式让 Claude 无需例行权限提示即可执行。一个独立的分类器模型在操作运行前审查它们，阻止任何超出您请求范围、针对无法识别的基础设施或看起来由 Claude 读取的恶意内容驱动的操作。显式的[询问规则](/zh-CN/permissions#manage-permissions)仍然会强制显示提示。
182 203
183Auto mode 还指示 Claude 继续工作而无需停止以提出澄清问题，尽管当您的提示或技能明确依赖它时 Claude 仍然会提问。要在保持权限提示的同时获得更强的自主行为，请改为设置[主动输出风格](/zh-CN/output-styles)。204自动模式还会促使 Claude 继续工作而不停下来提出澄清问题，尽管当您的提示或技能明确依赖它时，Claude 仍然会询问。为了获得更强的自主行为同时保持权限提示，请改为设置[主动输出风格](/zh-CN/output-styles)。
184 205
185<Warning>206<Warning>
186 Auto mode 减少提示但不保证安全。将其用于您信任一般方向的任务，而不是作为敏感操作审查的替代品。207 自动模式减少权限提示，但不保证安全。将其用于您信任总体方向的任务，而不是作为敏感操作审查的替代品。
187</Warning>208</Warning>
188 209
189Auto mode 仅在您的账户满足所有这些要求时可用：210自动模式仅在您的账户满足以下所有要求时可用：
190 211
191* **计划**：所有计划。212* **计划**：所有计划。
192* **所有者**：在 Team 和 Enterprise 上，所有者必须在 [Claude Code 管理员设置](https://claude.ai/admin-settings/claude-code)中启用它，然后用户才能打开它。管理员也可以通过在[托管设置](/zh-CN/permissions#managed-settings)中将 `permissions.disableAutoMode` 设置为 `"disable"` 来锁定它。213* **所有者**：在 Team 和 Enterprise 上，所有者必须在[Claude Code 管理员设置](https://claude.ai/admin-settings/claude-code)中启用它，用户才能打开它。管理员也可以通过在[托管设置](/zh-CN/permissions#managed-settings)中将 `permissions.disableAutoMode` 设置为 `"disable"` 来关闭自动模式。对于桌面应用的 Code 选项卡，`disableAutoMode` 是组织级别的控制，管理员设置切换不适用。
193* **模型**：在 Anthropic API 上，Claude Opus 4.6 或更高版本，或 Sonnet 4.6 或更高版本。在 Amazon Bedrock、Google Cloud 的 Agent Platform、Microsoft Foundry 和已登录的 [Claude apps gateway](/zh-CN/claude-apps-gateway) 会话上，仅支持 Claude Sonnet 5、Opus 4.7 和 Opus 4.8。不支持其他模型，包括 Sonnet 4.5、Opus 4.5、Haiku 和 claude-3 模型，在任何提供商上都不支持。214* **模型**：在 Anthropic API 上，Claude Opus 4.6 或更高版本，或 Sonnet 4.6 或更高版本。在 Amazon Bedrock、Google Cloud 的 Agent Platform、Microsoft Foundry 和已登录的 [Claude apps gateway](/zh-CN/claude-apps-gateway) 会话上，仅支持 Claude Sonnet 5、Opus 4.7 和 Opus 4.8。较旧的模型，包括 Sonnet 4.5、Opus 4.5、Haiku 和 claude-3 模型，在任何提供商上都不受支持。
194* **提供商**：在 Anthropic API 上默认可用。在 Amazon Bedrock、Google Cloud 的 Agent Platform、Microsoft Foundry 和已登录的 Claude apps gateway 会话上，auto mode 处于关闭状态，直到您[设置 `CLAUDE_CODE_ENABLE_AUTO_MODE`](#enable-auto-mode-on-bedrock-agent-platform-or-foundry)。215* **提供商**：在 Anthropic API、Amazon Bedrock、Google Cloud 的 Agent Platform、Microsoft Foundry 和已登录的 Claude apps gateway 会话上默认可用。{/* min-version: 2.1.207 */}在 v2.1.158 到 v2.1.206 中，自动模式在除 Anthropic API 之外的所有这些提供商上都是关闭的，直到您设置 `CLAUDE_CODE_ENABLE_AUTO_MODE=1`；v2.1.207 移除了该要求。
195 216
196如果 Claude Code 报告 auto mode 不可用，其中一个要求未满足；这不是暂时中断。一个单独的消息命名一个模型并说 auto mode "cannot determine the safety" 的操作是暂时分类器中断；请参阅[错误参考](/zh-CN/errors#auto-mode-cannot-determine-the-safety-of-an-action)。217如果 Claude Code 报告自动模式不可用，则其中一个要求未满足；这不是暂时性中断。一条单独的消息，其中命名了一个模型并说自动模式"无法确定"操作的安全性，是暂时性分类器中断；请参阅[错误参考](/zh-CN/errors#auto-mode-cannot-determine-the-safety-of-an-action)。
197 218
198如果您在[设置](/zh-CN/settings#available-settings)中设置 `defaultMode: "auto"` 并且会话以 `default` 模式启动且没有错误，该设置可能在 `.claude/settings.json` 或 `.claude/settings.local.json` 中。Claude Code v2.1.142 及更高版本忽略来自这些文件的 `auto`，因此仓库无法授予自己 auto mode。将其移动到 `~/.claude/settings.json`。219如果您在[设置](/zh-CN/settings#available-settings)中设置 `defaultMode: "auto"`，并且会话以 `default` 模式启动且没有错误，则该设置可能在 `.claude/settings.json` 或 `.claude/settings.local.json` 中。Claude Code v2.1.142 及更高版本忽略来自这些文件的 `auto`，因此存储库无法授予自己自动模式。将其移至 `~/.claude/settings.json`。
199 220
200<h3 id="enable-auto-mode-on-bedrock-agent-platform-or-foundry">221<h3 id="enable-auto-mode-on-bedrock-agent-platform-or-foundry">
201 在 Bedrock、Agent Platform 或 Foundry 上启用 auto mode222 Bedrock、Agent Platform 或 Foundry 上的自动模式
202</h3>223</h3>
203 224
204在 [Amazon Bedrock](/zh-CN/amazon-bedrock)、[Google Cloud 的 Agent Platform](/zh-CN/google-vertex-ai)、[Microsoft Foundry](/zh-CN/microsoft-foundry) 和已登录的 [Claude apps gateway](/zh-CN/claude-apps-gateway) 会话上，auto mode 不会出现在 `Shift+Tab` 循环中，直到 `CLAUDE_CODE_ENABLE_AUTO_MODE` 被设置为 `1`。该变量在 Claude Code v2.1.158 及更高版本中有效。仅在这些提供商上支持 Claude Sonnet 5、Opus 4.7 和 Opus 4.8。225在 [Amazon Bedrock](/zh-CN/amazon-bedrock)、[Google Cloud 的 Agent Platform](/zh-CN/google-vertex-ai)、[Microsoft Foundry](/zh-CN/microsoft-foundry) 和已登录的 [Claude apps gateway](/zh-CN/claude-apps-gateway) 会话上，自动模式默认出现在 `Shift+Tab` 循环中。出现在循环中不会改变会话启动的模式：会话仍然以您的 [`defaultMode`](/zh-CN/settings#available-settings) 启动，除非您更改它，否则为 Manual。这些提供商上仅支持 Claude Sonnet 5、Opus 4.7 和 Opus 4.8。
205
206要为一个开发者启用它，请将变量添加到 `~/.claude/settings.json` 中的 `env` 块：
207
208```json theme={null}
209{
210 "env": {
211 "CLAUDE_CODE_ENABLE_AUTO_MODE": "1"
212 }
213}
214```
215
216要为您的组织启用它，请将相同的 `env` 块添加到[托管设置](/zh-CN/settings#settings-files)。
217 226
218一旦设置了变量，auto mode 就会出现在每个会话的 `Shift+Tab` 循环中。要使其成为默认启动模式，还要在用户或托管设置中设置 `"permissions": {"defaultMode": "auto"}`。在这些提供商上，Claude Code 忽略 `defaultMode: "auto"`，除非也设置了 `CLAUDE_CODE_ENABLE_AUTO_MODE`。227要使自动模式成为默认启动模式，请在用户或托管设置中设置 `"permissions": {"defaultMode": "auto"}`。
219 228
220要防止开发者启用 auto mode，请在托管设置中将 `disableAutoMode` 设置为 `"disable"`。这会覆盖启用变量。229要防止开发人员使用自动模式，请在[托管设置](/zh-CN/permissions#managed-settings)中将 `disableAutoMode` 设置为 `"disable"`。这会从 `Shift+Tab` 循环中移除 `auto`，并在启动时拒绝 `--permission-mode auto`。
221 230
222如果您通过配置了 `ANTHROPIC_BASE_URL` 的 [LLM gateway](/zh-CN/llm-gateway) 连接，auto mode 可能已经可以访问而无需启用变量，因为网关通过 Anthropic API 路由请求。这不适用于已登录的 [Claude apps gateway](/zh-CN/claude-apps-gateway) 会话，它是自己的提供商类别，需要启用变量。`disableAutoMode` 设置在任一配置中以相同方式应用。231在 v2.1.158 到 v2.1.206 中，自动模式在这些提供商上是关闭的，直到您设置 `CLAUDE_CODE_ENABLE_AUTO_MODE=1`，并且 Claude Code 在这些提供商上忽略 `defaultMode: "auto"`，除非也设置了该变量。该变量仍然被接受以保持兼容性，从 v2.1.207 开始没有效果。
223 232
224<h3 id="what-the-classifier-blocks-by-default">233<h3 id="what-the-classifier-blocks-by-default">
225 分类器默认阻止的内容234 分类器默认阻止的内容
226</h3>235</h3>
227 236
228分类器信任您的工作目录和会话启动时为其配置的远程。{/* min-version: 2.1.200 */}使用 `git remote add` 或 `git remote set-url` 在会话期间添加或重新指向的远程不受信任，其他所有内容都被视为外部，直到您[配置受信任的基础设施](/zh-CN/auto-mode-config)。在 v2.1.200 之前，会话中期添加的远程也受信任。237分类器信任您的工作目录和为其配置的远程，这些远程在会话启动时被配置。{/* min-version: 2.1.200 */}在会话期间使用 `git remote add` 或 `git remote set-url` 添加或重新指向的远程不受信任，其他所有内容都被视为外部，直到您[配置受信任的基础设施](/zh-CN/auto-mode-config)。在 v2.1.200 之前，中途添加的远程也受信任。
229 238
230**默认阻止**：239**默认阻止**：
231 240
233* 向外部端点发送敏感数据242* 向外部端点发送敏感数据
234* 生产部署和迁移243* 生产部署和迁移
235* 云存储上的大规模删除244* 云存储上的大规模删除
236* 授予 IAM 或仓库权限245* 授予 IAM 或存储库权限
237* 修改共享基础设施246* 修改共享基础设施
238* 不可逆地销毁会话开始前存在的文件247* 不可逆地销毁会话前存在的文件
239* 强制推送248* 强制推送
240* {/* min-version: 2.1.203 */}当推送携带敏感内容（如密钥或个人或受信任数据）、携带相对于您要求的隐瞒或误述的更改、携带从仓库外部导入或首次读取的内容，或绕过您要求的拉取请求、审查或检查时，推送到仓库的默认分支。纯粹推送到默认分支本身不被阻止，清除标记的推送需要命名标记的内容或绕过的审查，而不仅仅是推送。分类器是一层：[`permissions.deny` 规则](/zh-CN/permissions#manage-permissions)在每种模式下应用，可以完全阻止推送到默认分支，远程自己的分支保护仍然适用。在 v2.1.203 之前，任何直接推送到默认分支都被阻止249* {/* min-version: 2.1.203 */}当推送包含敏感内容（如秘密或个人或受托数据）、包含相对于您要求的隐藏或描述错误的更改、包含从存储库外部移植或首次读取的内容，或绕过您要求的拉取请求、审查或检查时，推送到存储库的默认分支。普通推送到默认分支本身不会被阻止，清除标记的推送需要命名标记的内容或绕过的审查，而不仅仅是推送。分类器是一个层：[`permissions.deny` 规则](/zh-CN/permissions#manage-permissions)在每种模式下都适用，可以完全阻止推送到默认分支，远程自己的分支保护仍然适用。在 v2.1.203 之前，任何直接推送到默认分支都被阻止
241* {/* min-version: 2.1.182 */}}`git reset --hard`、`git checkout -- .`、`git restore .`、`git clean -fd`、`git stash drop` 或 `git stash clear`，分类器推测这些会丢弃未提交的更改250* {/* min-version: 2.1.182 */}`git reset --hard`、`git checkout -- .`、`git restore .`、`git clean -fd`、`git stash drop` 或 `git stash clear`，分类器假设会丢弃未提交的更改
242* `git commit --amend`，当 HEAD 处的提交不是在此会话中创建的251* 当 HEAD 处的提交不是在此会话中创建的时，`git commit --amend`
243* {/* min-version: 2.1.198 */}从 v2.1.198 开始，`git commit --amend` 当 HEAD 处的提交已经被推送时。仅消息重述不被阻止：`--amend -m` 没有新暂存的内容，在 Claude 在此会话中创建的提交上252* {/* min-version: 2.1.198 */}从 v2.1.198 开始，当 HEAD 处的提交已经被推送时，`git commit --amend`。仅消息重述不被阻止：`--amend -m`，没有新暂存的内容，在 Claude 在此会话期间创建的提交上
244* `terraform destroy`、`pulumi destroy`、`cdk destroy` 或 `terragrunt destroy`，以及应用会销毁资源的计划253* `terraform destroy`、`pulumi destroy`、`cdk destroy` 或 `terragrunt destroy`，以及应用销毁资源的计划
245 254
246Claude Code v2.1.195 及更高版本默认阻止更多类别。其中几个取决于[环境](/zh-CN/auto-mode-config#define-trusted-infrastructure)条目，例如敏感的远程目标和受保护的 IaC 范围，您可以将其缩小到具体名称。255Claude Code v2.1.195 及更高版本默认阻止更多类别。其中几个取决于[环境](/zh-CN/auto-mode-config#define-trusted-infrastructure)条目，如敏感远程目标和受保护的 IaC 范围，您可以将其缩小到具体名称。
247 256
248* 写入密钥管理器，或更改 DNS 记录或 TLS 证书257* 写入秘密管理器，或更改 DNS 记录或 TLS 证书
249* 合并人类未批准的拉取请求、批准 Claude 自己的拉取请求或禁用 CI 检查258* 合并没有人类批准的拉取请求、批准 Claude 自己的拉取请求或禁用 CI 检查
250* 发布本身是自动化命令的评论，例如 `atlantis apply` 或机器人的 `/deploy` 或 `/merge`259* 发布本身是自动化命令的评论，如 `atlantis apply` 或机器人的 `/deploy` 或 `/merge`
251* 切换、调整或删除生产功能标志260* 切换、调整或删除生产功能标志
252* 将基础设施更改应用于受保护的 IaC 范围，或排空和删除集群节点261* 将基础设施更改应用于受保护的 IaC 范围，或排空和移除集群节点
253* 写入超出您命名的资源的共享计算集群，例如标签选择器或 `--all` 捕获其他用户的作业262* 写入超出您命名的资源的共享计算集群，如标签选择器或 `--all`，捕获其他用户的作业
254* 创建在每个节点上运行或拦截集群流量的 Kubernetes 资源，例如 DaemonSets 和准入 webhooks263* 创建在每个节点上运行或拦截集群流量的 Kubernetes 资源，如 DaemonSets 和准入 webhooks
255* 交互式 shell 或端口转发到敏感的远程目标264* 交互式 shell 或端口转发到敏感远程目标
256* 打开隧道或反向 shell，使本地服务可从公共互联网访问265* 打开隧道或反向 shell，使本地服务可从公共互联网访问
257* 将实时凭证或令牌打印到记录或文件中266* 将实时凭证或令牌打印到记录或文件中
258* 访问列为您[环境](/zh-CN/auto-mode-config#define-trusted-infrastructure)中敏感数据位置的位置，或从其中复制数据。{/* min-version: 2.1.198 */}从 v2.1.198 开始，这也阻止从一个位置向条目排除的受众发送数据267* 访问在您的[环境](/zh-CN/auto-mode-config#define-trusted-infrastructure)中列为敏感数据位置的位置，或从中复制数据。{/* min-version: 2.1.198 */}从 v2.1.198 开始，这也阻止从一个位置向条目排除的受众发送数据
259* 绕过您的内部包注册表将包安装路由到公共注册表。{/* min-version: 2.1.198 */}从 v2.1.198 开始，这也适用于您在对话中告诉 Claude 内部注册表或镜像存在的情况，不仅仅是在您的环境中列出的情况268* 绕过您的内部包注册表将包安装路由到公共注册表。{/* min-version: 2.1.198 */}从 v2.1.198 开始，这也适用于您在对话中告诉 Claude 内部注册表或镜像存在的情况，而不仅仅是在您的环境中列出的情况
260* 使用禁用安全防护的标志运行命令，如 `--insecure`269* 使用禁用安全防护的标志运行命令，如 `--insecure`
261* 启动自主代理循环，在没有人类批准或沙箱的情况下运行，例如使用 `--dangerously-skip-permissions` 或 `--no-sandbox` 启动的循环。{/* min-version: 2.1.198 */}从 v2.1.198 开始，这也涵盖运行第三方代理或评估工具，禁用隔离和按操作批准，例如使用 `--yes-always` 启动的运行器270* 启动在没有人类批准或沙箱的情况下运行的自主代理循环，如使用 `--dangerously-skip-permissions` 或 `--no-sandbox` 启动的循环。{/* min-version: 2.1.198 */}从 v2.1.198 开始，这也涵盖运行第三方代理或评估工具，隔离和按操作批准被禁用，如使用 `--yes-always` 启动的运行器
262* [Chrome 中的 Claude](/zh-CN/chrome)浏览器操作可能会发送页面内容、cookie 或凭证跨源271* [Chrome 中的 Claude](/zh-CN/chrome) 浏览器操作，可能会将页面内容、cookie 或凭证发送到跨域
263 272
264Claude Code v2.1.198 及更高版本也默认阻止这些：273Claude Code v2.1.198 及更高版本也默认阻止这些：
265 274
266* 通过通配符、glob 或年龄过滤器而不是特定命名路径删除 `/tmp`、`$TMPDIR` 或另一个共享暂存或缓存目录中的文件275* 通过通配符、glob 或年龄过滤器而不是特定命名路径删除 `/tmp`、`$TMPDIR` 或其他共享暂存或缓存目录中的文件
267* 在您自己的消息未授权这些详情给该收件人时，在发送、上传、发布或写入其他人或共享系统的内容中包含敏感详情。{/* min-version: 2.1.200 */}PR 和问题正文、提交消息和评论在仓库在信任边界外或公开时计为这种类型的出站内容，包括您组织自己的公开仓库；内部文件路径、代码名称、实时 API 响应数据（如电子邮件或账户标识符）和基础设施标识符计为敏感详情。PR、问题和提交消息范围需要 Claude Code v2.1.200 或更高版本。{/* min-version: 2.1.203 */}PR 或问题正文中的实时个人数据（如电子邮件地址、账户或组织标识符或使用指标）需要您命名这些详情和收件人，无论仓库的可见性或信任边界如何。该检查需要 Claude Code v2.1.203 或更高版本276* 当您自己的消息没有授权这些详细信息给该收件人时，在发送、上传、发布或写入其他人或共享系统的内容中包含敏感详细信息。{/* min-version: 2.1.200 */}当存储库在信任边界外或公开时，PR 和问题正文、提交消息和评论计为这种类型的出站内容，包括您组织自己的公开存储库；内部文件路径、代码名称、实时 API 响应数据（如电子邮件或账户标识符）和基础设施标识符计为敏感详细信息。PR、问题和提交消息范围需要 Claude Code v2.1.200 或更高版本。{/* min-version: 2.1.203 */}PR 或问题正文中的实时个人数据（如电子邮件地址、账户或组织标识符或使用指标）需要您命名这些详细信息和收件人，无论存储库的可见性或信任边界如何。该检查需要 Claude Code v2.1.203 或更高版本
268* 向 Claude Code 自己的 tmux 窗格发送击键以驱动其自己的界面，分类器将其视为 Claude 改变自己的权限或监督277* 向 Claude Code 自己的 tmux 窗格发送按键以驱动其自己的界面，分类器将其视为 Claude 更改自己的权限或监督
269 278
270Claude Code v2.1.200 及更高版本也默认阻止这些：279Claude Code v2.1.200 及更高版本也默认阻止这些：
271 280
272* 注释掉、删除或强制通过保护安全行为的测试或断言，例如身份验证、访问控制、输入验证或沙箱281* 注释掉、删除或强制通过保护安全行为的测试或断言，如身份验证、访问控制、输入验证或沙箱
273* 删除或拆除 Claude 在会话中未创建的有状态资源，当没有更具体的删除规则适用且您未命名该资源时282* 删除或拆除 Claude 在会话中未创建的有状态资源，当没有更具体的删除规则适用且您没有命名该资源时
274* 将 API 基础 URL、代理端点、webhook 接收器或注册表镜像重新指向不适合任务的第三方主机，包括在示例文件（如 `.env.example`）中283* 在第三方主机处重新指向 API 基础 URL、代理端点、webhook 接收器或注册表镜像，该主机不适合任务，包括在 `.env.example` 等示例文件中
275* 使用 `git remote set-url` 或 `git remote add` 改变推送去向，除非您命名了新远程284* 使用 `git remote set-url` 或 `git remote add` 更改推送去向，除非您命名了新远程
276* 推送密钥或个人或受信任数据到已知为公开的仓库，或推送不是该仓库自己工作一部分的机密材料到那里。{/* min-version: 2.1.203 */}dotfiles 仓库自己的主题是个人或受信任数据的唯一例外，来自私有仓库到任何公开表面的内容以相同方式被阻止；两个改进都需要 Claude Code v2.1.203 或更高版本。在 v2.1.203 之前，个人数据与机密材料分组，仅在不是该仓库自己工作的一部分时被阻止。当仓库的可见性未确定时，分类器不会仅基于此阻止；它改为根据其他规则判断内容285* 推送秘密或个人或受托数据到已知为公开的存储库，或推送不属于该存储库自己工作的机密材料。{/* min-version: 2.1.203 */}dotfiles 存储库自己的主题是个人或受托数据的唯一例外，来自私有存储库到任何公开表面的内容以相同方式被阻止；两项改进都需要 Claude Code v2.1.203 或更高版本。在 v2.1.203 之前，个人数据与机密材料分组，仅当它不属于该存储库自己的工作时才被阻止。当存储库的可见性未建立时，分类器不会仅基于此阻止；它改为根据其他规则判断内容
277* 针对不同的仓库或组织打开拉取请求、使用 `gh repo fork` 进行分叉或推送到第三方仓库，除非您命名了该外部目标286* 针对不同存储库或组织打开拉取请求、使用 `gh repo fork` 进行分叉或推送到第三方存储库，除非您命名了该外部目标
278 287
279Claude Code v2.1.203 及更高版本也默认阻止这些：288Claude Code v2.1.203 及更高版本也默认阻止这些：
280 289
281* 来自敏感本地存储或来自其名称、路径或类型将其标记为敏感的文件的内容进入提交、推送、PR 或问题文本、gist 或粘贴或包发布，除非您命名了源和目标。会话记录和对话日志、凭证和配置点文件夹（如 SSH 密钥、云凭证、浏览器配置文件和 shell 历史记录）以及用户数据导出都计为此类，仓库是私有的不会清除它290* 来自敏感本地存储或其名称、路径或类型将其标记为敏感的文件的内容进入提交、推送、PR 或问题文本、gist 或粘贴或包发布，除非您命名了源和目标。会话记录和对话日志、凭证和配置点文件夹（如 SSH 密钥、云凭证、浏览器配置文件和 shell 历史记录）以及用户数据导出都计为此，存储库为私有不会清除它
282 291
283Claude Code v2.1.205 及更高版本也默认阻止这些：292Claude Code v2.1.205 及更高版本也默认阻止这些：
284 293
285* 写入 Claude Code 会话记录、`~/.claude/projects/` 下的 `.jsonl` 历史文件或您配置的配置目录，无论是直接还是通过 shell 命令。该规则也涵盖 Claude Code 为其自己的检查附加到每个记录条目的元数据行。记录是 Claude Code 写入的会话状态，而不是工作文件，篡改的条目在您恢复会话后到达每个后续检查，因此 auto mode 作为深度防御阻止这些写入。读取记录不被阻止294* 写入 Claude Code 会话记录、`~/.claude/projects/` 下的 `.jsonl` 历史文件或您配置的配置目录，无论是直接还是通过 shell 命令。该规则也涵盖 Claude Code 为其自己的检查附加到每个记录条目的元数据行。记录是 Claude Code 写入的会话状态，而不是工作文件，篡改的条目在您恢复会话后到达每个后续检查，因此自动模式作为深度防御阻止这些写入。读取记录不被阻止
286* 递归强制删除，例如 `rm -rf "$VAR"` 或 `Remove-Item -Recurse -Force $dir`，其目标是 shell 变量或以其为根的 glob，在分类器看到的对话中任何地方都未分配。该值仅来自早期命令输出，分类器永远不会收到，因此分类器无法根据其他删除规则验证删除目标。分类器按设计读取对话而不是命令输出，因此它阻止调用而不是猜测目标。当您命名被删除的确切路径或当 Claude 使用写入命令中的已解析文字路径重新运行删除时，阻止清除。目标分类器可以解析的删除不受影响295* 递归强制删除，如 `rm -rf "$VAR"` 或 `Remove-Item -Recurse -Force $dir`，其目标是分类器看不到在对话中任何地方分配的 shell 变量，或以一个为根的 glob。该值仅来自较早的命令输出，分类器从不接收，因此分类器无法根据其他删除规则验证删除目标。分类器按设计读取对话而不是命令输出，因此它阻止调用而不是猜测目标。当您命名被删除的确切路径或 Claude 使用写入命令中的已解析文字路径重新运行删除时，阻止清除。分类器可以解析其目标的删除不受影响
287 296
288**默认允许**：297**默认允许**：
289 298
290* 工作目录中的本地文件操作299* 您工作目录中的本地文件操作
291* 安装在您的锁定文件或清单中声明的依赖项300* 安装在您的锁定文件或清单中声明的依赖项
292* 读取 `.env` 并向其匹配的 API 发送凭证301* 读取 `.env` 并向其匹配的 API 发送凭证
293* 只读 HTTP 请求302* 只读 HTTP 请求
295 304
296Claude Code v2.1.195 及更高版本也默认允许这些：305Claude Code v2.1.195 及更高版本也默认允许这些：
297 306
298* 删除 Claude 在同一会话中早前创建的确切作业307* 删除 Claude 在同一会话中较早创建的确切作业
299* 作为您的任务的一部分读取、审查或编写与安全相关的代码、配置和威胁模型308* 作为您的任务的一部分，读取、审查或编写与安全相关的代码、配置和威胁模型
300* 在同一多代理会话中协同工作的代理之间的消息309* 在同一多代理会话中一起工作的代理之间的消息
301* 向您在 [`environment`](/zh-CN/auto-mode-config#define-trusted-infrastructure) 中列出的受信任域、桶和服务发送数据。这仅涵盖数据流，不涵盖相同基础设施上的破坏性或凭证操作310* 向您在 [`environment`](/zh-CN/auto-mode-config#define-trusted-infrastructure) 中列出的受信任域、存储桶和服务发送数据。这仅涵盖数据流，不涵盖同一基础设施上的破坏性或凭证操作
302* [Chrome 中的 Claude](/zh-CN/chrome)导航到受信任的内部域、localhost 或您命名的 URL311* [Chrome 中的 Claude](/zh-CN/chrome) 导航到受信任的内部域、localhost 或您命名的 URL
303 312
304Sandbox 网络访问请求通过分类器路由而不是默认允许。{/* min-version: 2.1.198 */}从 v2.1.198 开始，分类器重用其对网络主机和端口的判决，而不是在每次连接时重新运行：313沙箱网络访问请求通过分类器路由，而不是默认允许。{/* min-version: 2.1.198 */}从 v2.1.198 开始，分类器重用其对网络主机和端口的判决，而不是在每次连接时重新运行：
305 314
306* 允许被重用直到新内容进入对话，此时该主机被再次检查315* 允许被重用直到新内容进入对话，此时该主机被再次检查
307* 在交互式 CLI 中，拒绝在轮次结束时被丢弃316* 在交互式 CLI 中，拒绝在轮次结束时被丢弃
308* 在[非交互式模式](/zh-CN/headless)和 Agent SDK 会话中没有轮次边界，因此拒绝在运行的其余部分被重用317* 在[非交互模式](/zh-CN/headless)和 Agent SDK 会话中没有轮次边界，因此拒绝被重用于运行的其余部分
309* 改变您的权限模式或规则会丢弃所有缓存的判决318* 更改您的权限模式或规则会丢弃所有缓存的判决
310 319
311运行 `claude auto-mode defaults` 以查看完整的规则列表。如果常规操作被阻止，管理员可以通过 `autoMode.environment` 设置添加受信任的仓库、桶和服务：请参阅[配置 auto mode](/zh-CN/auto-mode-config)。320运行 `claude auto-mode defaults` 查看完整规则列表。如果例行操作被阻止，管理员可以通过 `autoMode.environment` 设置添加受信任的存储库、存储桶和服务：请参阅[配置自动模式](/zh-CN/auto-mode-config)。
312 321
313<h3 id="boundaries-you-state-in-conversation">322<h3 id="boundaries-you-state-in-conversation">
314 您在对话中陈述的边界323 您在对话中陈述的边界
315</h3>324</h3>
316 325
317分类器将您在对话中陈述的边界视为阻止信号。如果您告诉 Claude "don't push" 或 "wait until I review before deploying"，分类器会阻止匹配的操作，即使默认规则会允许它们。边界保持有效，直到您在后续消息中解除它。Claude 自己的判断条件已满足不会解除它。326分类器将您在对话中陈述的边界视为阻止信号。如果您告诉 Claude"不要推送"或"等待我审查后再部署"，分类器会阻止匹配的操作，即使默认规则会允许它们。边界保持有效，直到您在后续消息中解除它。Claude 自己的判断条件已满足不会解除它。
318 327
319边界不存储为规则。分类器在每次检查时从记录中重新读取它们，因此如果[上下文压缩](/zh-CN/costs#reduce-token-usage)删除陈述边界的消息，边界可能会丢失。为了硬保证，请改为添加[拒绝规则](/zh-CN/permissions#permission-rule-syntax)。328边界不作为规则存储。分类器在每次检查时从记录中重新读取它们，因此如果[上下文压缩](/zh-CN/costs#reduce-token-usage)移除陈述它的消息，边界可能会丢失。为了获得硬保证，请改为添加[拒绝规则](/zh-CN/permissions#permission-rule-syntax)。
320 329
321<h3 id="when-auto-mode-falls-back">330<h3 id="when-auto-mode-falls-back">
322 当 auto mode 回退时331 自动模式何时回退
323</h3>332</h3>
324 333
325每个被拒绝的操作显示通知并出现在 `/permissions` 下的"最近拒绝"选项卡中，您可以按 `r` 以手动批准重试它。334每个被拒绝的操作显示通知并出现在 `/permissions` 下的"最近拒绝"选项卡中，您可以按 `r` 使用手动批准重试它。
326 335
327如果分类器在一行中阻止操作 3 次或总共 20 次，auto mode 暂停，Claude Code 恢复提示。批准提示的操作恢复 auto mode。这些阈值不可配置。任何允许的操作重置连续计数器，而总计数器在会话中持续，仅在其自己的限制触发回退时重置。336如果分类器连续 3 次或总共 20 次阻止操作，自动模式暂停，Claude Code 恢复提示。批准提示的操作恢复自动模式。这些阈值不可配置。任何允许的操作重置连续计数器，而总计数器在会话期间持续，仅当其自己的限制触发回退时重置。
328 337
329在[非交互式模式](/zh-CN/headless)中使用 `-p` 标志，重复的阻止中止会话，因为没有用户可以提示。338在[非交互模式](/zh-CN/headless)中使用 `-p` 标志，重复阻止会中止会话，因为没有用户可以提示。
330 339
331重复的阻止通常意味着分类器缺少关于您的基础设施的上下文。使用 `/feedback` 报告误报，或让管理员[配置受信任的基础设施](/zh-CN/auto-mode-config)。340重复阻止通常意味着分类器缺少关于您的基础设施的上下文。使用 `/feedback` 报告误报，或让管理员[配置受信任的基础设施](/zh-CN/auto-mode-config)。
332 341
333<AccordionGroup>342<AccordionGroup>
334 <Accordion title="分类器如何评估操作">343 <Accordion title="分类器如何评估操作">
335 每个操作都经过固定的决策顺序。第一个匹配的步骤获胜：344 每个操作都经过固定的决策顺序。第一个匹配的步骤获胜：
336 345
337 1. 与您的[允许或拒绝规则](/zh-CN/permissions#manage-permissions)匹配的操作立即解决，除了对[受保护路径](#protected-paths)的写入，即使允许规则匹配也会路由到分类器346 1. 与您的[允许或拒绝规则](/zh-CN/permissions#manage-permissions)匹配的操作立即解决，除了[受保护路径](#protected-paths)的写入，即使允许规则匹配也会路由到分类器
338 2. 只读操作和工作目录中的文件编辑自动批准，除了对[受保护路径](#protected-paths)的写入347 2. 只读操作和工作目录中的文件编辑被自动批准，除了[受保护路径](#protected-paths)的写入
339 3. 其他所有内容都发送到分类器。{/* min-version: 2.1.199 */}从 v2.1.199 开始，标记有 [`_meta["anthropic/requiresUserInteraction"]`](/zh-CN/mcp#require-approval-for-a-specific-tool) 的 MCP 工具跳过分类器并直接提示您，因此同意步骤永远不会代表工具作者自动批准348 3. 其他所有内容都进入分类器。{/* min-version: 2.1.199 */}从 v2.1.199 开始，标记有 [`_meta["anthropic/requiresUserInteraction"]`](/zh-CN/mcp#require-approval-for-a-specific-tool) 的 MCP 工具跳过分类器并直接提示您，因此同意步骤从不代表工具作者自动批准
340 4. 如果分类器阻止，Claude 收到原因并尝试替代方案349 4. 如果分类器阻止，Claude 接收原因并尝试替代方案
341 350
342 进入 auto mode 时，授予任意代码执行的广泛允许规则被删除：351 进入自动模式时，授予任意代码执行的广泛允许规则被丢弃：
343 352
344 * 全面 `Bash(*)` 或 `PowerShell(*)`353 * 笼统的 `Bash(*)` 或 `PowerShell(*)`
345 * 通配符解释器如 `Bash(python*)`354 * 通配符解释器，如 `Bash(python*)`
346 * 包管理器运行命令355 * 包管理器运行命令
347 * `Agent` 允许规则356 * `Agent` 允许规则
348 357
349 诸如 `Bash(npm test)` 之类的狭隘规则会继续。删除的规则在您离开 auto mode 时恢复。358 窄规则如 `Bash(npm test)` 保留。丢弃的规则在您离开自动模式时恢复。
350 359
351 分类器看到用户消息、工具调用和您的 CLAUDE.md 内容。工具结果被剥离，因此文件或网页中的恶意内容无法直接操纵它。一个单独的服务器端探针扫描传入的工具结果并在 Claude 读取前标记可疑内容。有关这些层如何协同工作的更多信息，请参阅 [auto mode 公告](https://claude.com/blog/auto-mode)和[工程深度探讨](https://www.anthropic.com/engineering/claude-code-auto-mode)。360 分类器看到用户消息、工具调用和您的 CLAUDE.md 内容。工具结果被剥离，因此文件或网页中的恶意内容无法直接操纵它。一个单独的服务器端探针扫描传入的工具结果，并在 Claude 读取之前标记可疑内容。有关这些层如何协同工作的更多信息，请参阅[自动模式公告](https://claude.com/blog/auto-mode)和[工程深潜](https://www.anthropic.com/engineering/claude-code-auto-mode)。
352 </Accordion>361 </Accordion>
353 362
354 <Accordion title="Auto mode 如何处理子代理">363 <Accordion title="自动模式如何处理子代理">
355 分类器在三个点检查[子代理](/zh-CN/sub-agents)工作：364 分类器在三个点检查[子代理](/zh-CN/sub-agents)工作：
356 365
357 1. 在子代理启动前，委派的任务描述被评估，因此看起来危险的任务在生成时被阻止。366 1. 在子代理启动前，委托的任务描述被评估，因此危险看起来的任务在生成时被阻止。
358 2. 当子代理运行时，它的每个操作都通过分类器，使用与父会话相同的规则，子代理前言中的任何 `permissionMode` 都被忽略。367 2. 当子代理运行时，其每个操作都通过分类器，使用与父会话相同的规则，子代理前言中的任何 `permissionMode` 被忽略。
359 3. 当子代理完成时，分类器审查其完整的操作历史；如果该返回检查标记了一个问题，安全警告被添加到子代理的结果前面。368 3. 当子代理完成时，分类器审查其完整操作历史；如果该返回检查标记了关注，安全警告被前置到子代理的结果。
360 369
361 第 1 步需要 Claude Code v2.1.178 或更高版本。早期版本在第 2 和 3 步应用分类器，但在子代理启动前没有评估任务描述。370 步骤 1 需要 Claude Code v2.1.178 或更高版本。较早的版本在步骤 2 和 3 应用分类器，但在子代理启动前没有评估任务描述。
362 </Accordion>371 </Accordion>
363 372
364 <Accordion title="成本和延迟">373 <Accordion title="成本和延迟">
365 分类器在独立于您的 `/model` 选择的服务器配置模型上运行，因此切换模型不会改变分类器可用性。分类器调用计入您的令牌使用。每次检查发送记录的一部分加上待处理操作，在执行前添加往返。受保护路径外的读取和工作目录编辑跳过分类器，因此开销主要来自 shell 命令和网络操作。{/* min-version: 2.1.198 */}从 v2.1.198 开始，sandbox 网络判决对于主机和端口被重用，而不是在每次连接时重新分类，因此重复连接到同一主机不会各自添加检查。[分类器默认阻止的内容](#what-the-classifier-blocks-by-default)描述了允许和拒绝持续多长时间。374 分类器在独立于您的 `/model` 选择的服务器配置模型上运行，因此切换模型不会改变分类器可用性。分类器调用计入您的令牌使用。每次检查发送记录的一部分加上待处理操作，在执行前添加往返。受保护路径外的读取和工作目录编辑跳过分类器，因此开销主要来自 shell 命令和网络操作。{/* min-version: 2.1.198 */}从 v2.1.198 开始，主机和端口的沙箱网络判决被重用，而不是在每次连接时重新分类，因此到同一主机的重复连接不会各自添加检查。[分类器默认阻止的内容](#what-the-classifier-blocks-by-default)描述允许和拒绝持续多长时间。
366 </Accordion>375 </Accordion>
367</AccordionGroup>376</AccordionGroup>
368 377
369<h2 id="allow-only-pre-approved-tools-with-dontask-mode">378<h2 id="allow-only-pre-approved-tools-with-dontask-mode">
370 仅使用 dontAsk mode 允许预先批准的工具379 使用 dontAsk 模式仅允许预先批准的工具
371</h2>380</h2>
372 381
373`dontAsk` mode 自动拒绝每个会提示的工具调用。状态栏在此模式处于活动状态时显示 `⏵⏵ don't ask on`。仅与您的 `permissions.allow` 规则和[只读 Bash 命令](/zh-CN/permissions#read-only-commands)匹配的操作可以执行；显式 [`ask` 规则](/zh-CN/permissions#manage-permissions)被拒绝而不是提示。{/* min-version: 2.1.199 */}从 v2.1.199 开始，标记有 [`_meta["anthropic/requiresUserInteraction"]`](/zh-CN/mcp#require-approval-for-a-specific-tool) 的 MCP 工具在此模式下也会被拒绝，即使允许规则匹配它，因为其批准卡需要此模式永远不会收集的答案。这使模式完全非交互式，适合 CI 管道或受限环境，其中您预先定义 Claude 可能执行的确切操作。[Claude Code on the web](/zh-CN/claude-code-on-the-web) 上的云会话忽略 `defaultMode: "dontAsk"`；有关详细信息，请参阅 [bypassPermissions](#skip-all-checks-with-bypasspermissions-mode)。382`dontAsk` 模式会自动拒绝所有原本会提示的工具调用。当此模式处于活动状态时，状态栏显示 `⏵⏵ don't ask on`。只有与您的 `permissions.allow` 规则和[只读 Bash 命令](/zh-CN/permissions#read-only-commands)匹配的操作才能执行；显式的[`ask` 规则](/zh-CN/permissions#manage-permissions)会被拒绝而不是提示。{/* min-version: 2.1.199 */}从 v2.1.199 开始，标记有 [`_meta["anthropic/requiresUserInteraction"]`](/zh-CN/mcp#require-approval-for-a-specific-tool) 的 MCP 工具在此模式下也会被拒绝，即使 allow 规则与其匹配，因为其批准卡需要此模式永远不会收集的答案。这使得该模式对于 CI 管道或受限环境完全非交互式，您可以在其中预先定义 Claude 可以执行的操作。[Claude Code on the web](/zh-CN/claude-code-on-the-web) 上的云会话会忽略 `defaultMode: "dontAsk"`；有关详细信息，请参阅 [bypassPermissions](#skip-all-checks-with-bypasspermissions-mode)。
374 383
375在启动时使用标志设置它：384在启动时使用标志设置它：
376 385
379```388```
380 389
381<h2 id="skip-all-checks-with-bypasspermissions-mode">390<h2 id="skip-all-checks-with-bypasspermissions-mode">
382 使用 bypassPermissions mode 跳过所有检查391 使用 bypassPermissions 模式跳过所有检查
383</h2>392</h2>
384 393
385`bypassPermissions` mode 禁用权限提示和安全检查，因此工具调用立即执行。从 v2.1.126 开始，这包括对[受保护路径](#protected-paths)的写入，早期版本仍然会提示。显式[询问规则](/zh-CN/permissions#manage-permissions)仍然会在此模式下强制提示，针对文件系统根目录或主目录的删除操作，例如 `rm -rf /` 和 `rm -rf ~`，仍然会提示作为防止模型错误的断路器。{/* min-version: 2.1.199 */}从 v2.1.199 开始，标记为 [`_meta["anthropic/requiresUserInteraction"]`](/zh-CN/mcp#require-approval-for-a-specific-tool) 的 MCP 工具也仍然会提示。仅在隔离环境（如容器、VM 或没有互联网访问的 dev containers）中使用此模式，其中 Claude Code 无法对您的主机系统造成损害。394`bypassPermissions` 模式禁用权限提示和安全检查，以便工具调用立即执行。从 v2.1.126 开始，这包括对[受保护路径](#protected-paths)的写入，早期版本仍会提示。显式的[询问规则](/zh-CN/permissions#manage-permissions)仍会在此模式下强制提示，针对文件系统根目录或主目录的删除操作（如 `rm -rf /` 和 `rm -rf ~`）仍会作为针对模型错误的断路器进行提示。{/* min-version: 2.1.199 */}从 v2.1.199 开始，标记有 [`_meta["anthropic/requiresUserInteraction"]`](/zh-CN/mcp#require-approval-for-a-specific-tool) 的 MCP 工具也仍会提示。仅在隔离环境（如容器、虚拟机或没有互联网访问的开发容器）中使用此模式，其中 Claude Code 无法损害您的主机系统。
386 395
387您无法从没有启用标志之一启动的会话进入 `bypassPermissions`；使用其中一个重新启动以启用它：396您无法从未使用启用标志启动的会话进入 `bypassPermissions`；使用以下标志重新启动以启用它：
388 397
389```bash theme={null}398```bash theme={null}
390claude --permission-mode bypassPermissions399claude --permission-mode bypassPermissions
391```400```
392 401
393`--dangerously-skip-permissions` 标志等同。402`--dangerously-skip-permissions` 标志是等效的。
394 403
395在 Linux 和 macOS 上，当以 root 身份或在 `sudo` 下运行时，Claude Code 拒绝以此模式启动：404在 Linux 和 macOS 上，当以 root 身份或在 `sudo` 下运行时，Claude Code 拒绝以此模式启动：
396 405
398--dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons407--dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons
399```408```
400 409
401在识别的沙箱内自动跳过该检查。要在容器中自主运行，请使用 [dev container](/zh-CN/devcontainer) 配置，该配置以非 root 用户身份运行 Claude Code。410该检查在识别的沙箱内自动跳过。要在容器中自主运行，请使用[开发容器](/zh-CN/devcontainer)配置，该配置以非 root 用户身份运行 Claude Code。
402 411
403[Claude Code on the web](/zh-CN/claude-code-on-the-web) 不遵守来自您的设置文件的 `defaultMode: "bypassPermissions"` 或 `"dontAsk"`，因此存储库的签入设置无法在绕过权限模式下启动云会话。该设置被静默忽略，会话改为以模式下拉菜单中显示的模式启动。有关云会话提供的模式，请参阅[切换权限模式](#switch-permission-modes)。412[网络上的 Claude Code](/zh-CN/claude-code-on-the-web) 不遵守您的设置文件中的 `defaultMode: "bypassPermissions"` 或 `"dontAsk"`，因此存储库的签入设置无法在绕过权限模式下启动云会话。该设置被静默忽略，会话改为以模式下拉菜单中显示的模式启动。有关云会话提供的模式，请参阅[切换权限模式](#switch-permission-modes)。
404 413
405<Warning>414<Warning>
406 `bypassPermissions` 不提供针对提示注入或意外操作的保护。对于没有提示的后台安全检查，请改为使用 [auto mode](#eliminate-prompts-with-auto-mode)。管理员可以通过在[托管设置](/zh-CN/permissions#managed-settings)中将 `permissions.disableBypassPermissionsMode` 设置为 `"disable"` 来阻止此模式。415 `bypassPermissions` 不提供针对提示注入或意外操作的保护。为了获得背景安全检查且权限提示大幅减少，请改用[自动模式](#eliminate-prompts-with-auto-mode)。管理员可以通过在[托管设置](/zh-CN/permissions#managed-settings)中将 `permissions.disableBypassPermissionsMode` 设置为 `"disable"` 来阻止此模式。
407</Warning>416</Warning>
408 417
409<h2 id="protected-paths">418<h2 id="protected-paths">
410 受保护的路径419 受保护的路径
411</h2>420</h2>
412 421
413对一小组路径的写入在除了 `bypassPermissions` 之外的每种模式中都永远不会自动批准。这防止了仓库状态和 Claude 自己的配置的意外破坏。422在除 `bypassPermissions` 之外的所有模式中，对一小组路径的写入永远不会自动批准。这可以防止意外损坏存储库状态和 Claude 自己的配置。
414 423
415| 模式 | 受保护路径写入 |424| 模式 | 受保护路径写入 |
416| :----------------------------- | :------ |425| :----------------------------- | :------ |
419| `dontAsk` | 拒绝 |428| `dontAsk` | 拒绝 |
420| `bypassPermissions` | 允许 |429| `bypassPermissions` | 允许 |
421 430
422[`permissions.allow`](/zh-CN/permissions#manage-permissions) 设置文件中的规则不会预先批准受保护路径的写入。安全检查在 Claude Code 评估设置中的允许规则之前运行，因此 `~/.claude/settings.json` 或 `.claude/settings.json` 中的条目（如 `Edit(.claude/**)`）不会改变上表中的每种模式的结果。在提示的模式中，对 `.claude/` 写入的提示会提供**是的，并允许 Claude 在此会话中编辑其自己的设置**，这会在该会话中批准后续的 `.claude/` 写入而无需再次提示。431设置文件中的 [`permissions.allow`](/zh-CN/permissions#manage-permissions) 规则不会预先批准受保护路径的写入。安全检查在 Claude Code 评估设置中的允许规则之前运行，因此 `~/.claude/settings.json` 或 `.claude/settings.json` 中的条目（如 `Edit(.claude/**)`）不会改变上表中的每个模式结果。在提示的模式中，`.claude/` 写入的提示提供**是的，允许 Claude 在此会话中编辑其自己的设置**，这会在该会话中批准后续的 `.claude/` 写入而无需再次提示。
423 432
424受保护的目录：433受保护的目录：
425 434
432* `.devcontainer`441* `.devcontainer`
433* `.yarn`442* `.yarn`
434* `.mvn`443* `.mvn`
435* `.claude`，除了 `.claude/worktrees`，Claude 在其中存储其自己的 git worktrees444* `.claude`，除了 `.claude/worktrees`，Claude 在其中存储自己的 git worktrees
436 445
437受保护的文件：446受保护的文件：
438 447
451</h2>460</h2>
452 461
453* [权限](/zh-CN/permissions)：允许、询问和拒绝规则；托管策略462* [权限](/zh-CN/permissions)：允许、询问和拒绝规则；托管策略
454* [配置 auto mode](/zh-CN/auto-mode-config)：告诉分类器您的组织信任哪些基础设施463* [配置自动模式](/zh-CN/auto-mode-config)：告诉分类器您的组织信任哪些基础设施
455* [Hooks](/zh-CN/hooks)：通过 `PreToolUse` 和 `PermissionRequest` hooks 的自定义权限逻辑464* [Hooks](/zh-CN/hooks)：通过 `PreToolUse` 和 `PermissionRequest` hooks 的自定义权限逻辑
456* [Ultraplan](/zh-CN/ultraplan)：在 Claude Code on the web 会话中运行 plan mode，带基于浏览器的审查465* [Ultraplan](/zh-CN/ultraplan)：在 Claude Code 网络会话中运行计划模式，支持基于浏览器的审查
457* [安全](/zh-CN/security)：保障和最佳实践466* [安全](/zh-CN/security)：保障措施和最佳实践
458* [沙箱](/zh-CN/sandboxing)：Bash 命令的文件系统和网络隔离467* [沙箱](/zh-CN/sandboxing)：Bash 命令的文件系统和网络隔离
459* [非交互式模式](/zh-CN/headless)：使用 `-p` 标志运行 Claude Code468* [非交互模式](/zh-CN/headless)：使用 `-p` 标志运行 Claude Code
