权限与安全

Claude Code 使用多层权限架构来控制工具执行 — 从 6 种权限模式到 LLM 分类器自动审批，再到危险命令检测。

6 种权限模式

权限模式决定了工具调用的默认处理方式：

7 层规则系统

权限规则来自多个来源，按优先级从高到低排列：

每条规则的结构：

interface PermissionRule {
  source: PermissionRuleSource     // 来源 (7 层之一)
  ruleBehavior: 'allow' | 'deny' | 'ask'
  ruleValue: {
    toolName: string              // 'Bash', 'Read', 'mcp__server__tool'
    ruleContent?: string          // 可选内容: Bash(prefix:npm), Read(/path)
  }
}

// 规则示例
{ toolName: 'Bash', ruleContent: 'prefix:npm' }     // npm 开头的命令
{ toolName: 'Read', ruleContent: '/home/user/src' }  // 特定目录
{ toolName: 'mcp__github__*' }                      // MCP server 通配
    

权限检查流程

每次工具调用都经过 hasPermissionsToUseTool() 的完整检查链：

LLM 分类器 — 用 AI 判断安全性

这是 Claude Code 最独特的安全机制 — 用一次额外的 LLM 调用来判断工具调用是否安全：

Bash 分类器 (bashClassifier)

• 评估 Bash 命令的危险模式
• 检测：rm -rf, git push --force, curl | sh 等
• 返回置信度等级
• 2 秒超时的推测性检查（Speculative Check）

Auto 模式分类器 (yoloClassifier)

• 使用模型推理评估工具安全性
• 返回决策 + 置信度
• 高置信度 → 在 auto 模式下自动批准
• 低置信度 → 回退到用户提示

// 分类器的推测性检查（2 秒竞速）
const classifierResult = await Promise.race([
  bashClassifier(command),
  timeout(2000)  // 2 秒超时
]);

if (classifierResult?.confidence === 'high'
    && classifierResult?.decision === 'safe') {
  // 自动通过，无需用户确认
  return 'allow';
}
// 否则回退到用户提示
    

危险命令检测

系统内置了危险规则检测，防止用户配置过于宽松的允许规则：

Bash 危险规则

• isDangerousBashPermission() 检测允许任意代码执行的规则
• 检测模式：通配符 (*)、解释器 (python, node)、包管理器 (pip install)
• Auto 模式会自动剥离危险规则，强制使用提示

PowerShell 危险规则

• isDangerousPowerShellPermission() 检测
• 检测：Invoke-Expression, Start-Process, iex 等

安全哲学对比：Claude Code vs Codex CLI