它到底是什么

/permissions(别名 /allowed-tools)是 Claude Code 的会话内交互式权限管理面板。

打开后它列出当前生效的全部权限规则及每条规则所在的 settings.json 文件路径,让你无需手动编辑 JSON 即可新增或删除 allow / ask / deny 规则。

官方文档对该命令的定位:

"You can view and manage Claude Code's tool permissions with /permissions. This UI lists all permission rules and the settings.json file they are sourced from."

重要前提:权限规则由 Claude Code harness 强制执行,不受 prompt 或 CLAUDE.md 指令影响。在 prompt 里写"不要问我"不等同于在这里设置 allow 规则。

怎么触发 / 怎么使用

1. 打开面板

在会话输入框里输入:

/permissions

或等价别名:

/allowed-tools

面板随即展开,列出所有已加载规则及其来源文件。

2. 规则语法

规则格式为 Tool 或 Tool(specifier),可以放在 allow / ask / deny 三个列表中。

匹配某工具的所有调用:

Bash
WebFetch
Read
Edit

裸工具名作为 deny 规则时,会把该工具从 Claude 的上下文中完全移除——Claude 看不到这个工具的存在。

带 specifier 的精确 / 通配匹配:

带 specifier 的 deny 规则与裸工具名行为不同:工具仍留在上下文里,但 Claude 触发匹配调用时会被直接拦截。

3. 规则评估顺序

deny  →  ask  →  allow

第一个匹配的规则决定结果,规则粒度不影响优先级。若同时有 ask 规则和更精确的 allow 规则命中同一次调用,ask 先匹配则仍会弹出确认框。

保存 / 配置 / 集成

settings.json 格式

/permissions 面板读写的底层结构是各层 settings.json 里的 permissions 对象:

{
  "permissions": {
    "allow": [
      "Bash(npm run *)",
      "Bash(git commit *)"
    ],
    "deny": [
      "Bash(git push *)",
      "mcp__*"
    ],
    "ask": [
      "Bash(rm *)"
    ]
  }
}

文件优先级(高→低)

任一层级的 deny 规则均不能被更低层级的 allow 覆盖。

Permission Mode(默认行为)

在 settings.json 中通过 defaultMode 字段设置整体审批模式:

运行约束 / 限制

跟同类原语对比

经典使用场景

• 项目首次初始化:配合 /init 和 /mcp 之后运行,为这个 repo 建立审批基线——决定哪些 Bash 命令无需每次确认。
• 自动化 / CI 场景:将 defaultMode 设为 dontAsk,再通过 /permissions 预批准明确安全的工具集,既防止 Claude 意外调用危险命令,又无需人工逐次确认。
• 锁定 MCP 工具范围:在 deny 列表中加入 mcp__* 禁止所有 MCP 工具,再用 mcp__<server>__<tool> 逐一放行需要的工具。
• 阻断破坏性 Bash 模式:在 deny 中加 Bash(rm -rf *) 或 Bash(git push --force *),让这些命令始终被拦截而非弹框询问。
• 组织级管控:管理员在 managed settings 中设置 allowManagedPermissionRulesOnly: true,阻止用户层与项目层 settings 再定义 allow / ask / deny 规则(官方原文 "prevents user and project settings from defining allow, ask, or deny permission rules"),使权限规则只能由 managed settings 下发。
• 复盘 auto mode 拒绝(v2.1.193+):/permissions 对话框可查看最近的 auto mode 拒绝及其原因(官方原文 "review recent auto mode denials",链 auto-mode-config#review-denials)。v2.1.193 起,auto-mode 的拒绝原因(denial reasons)会同时写入 transcript、拒绝提示(denial toast)以及 /permissions 的 recent denials 列表,便于排查"为什么这条命令被 auto mode 挡下"——据此调整 allow 规则或 auto-mode 配置,而非盲目放宽权限。

常见坑

1. ask 会"盖过"更精确的 allow:规则评估按 deny→ask→allow 顺序,与 specifier 粒度无关。如果你有 ask: ["Bash"] 和 allow: ["Bash(npm test)"],npm test 仍然会弹框,因为 ask 先命中。要解决这个问题,需将 ask 规则也设为带 specifier 的形式。

2. 用 Bash 规则限制 curl URL 极不可靠:官方文档明确警告,Bash(curl http://github.com/ *) 无法防御选项顺序不同、变量展开、协议变化等情况。应改用 WebFetch(domain:github.com) 配合 Bash 中的 curl/wget deny 规则。

3. Read/Edit 路径语法陷阱:/path 是相对于项目根目录的路径,不是文件系统绝对路径。绝对路径必须使用 //path(双斜杠)。

4. bypassPermissions 的安全边界:该模式会跳过 .git、.config/git、.claude 等敏感目录的写入提示,只有显式 ask 规则和针对根目录/家目录的 rm 仍会弹框。非隔离环境不应启用。

5. process wrapper 列表不可配置:内置剥除列表(timeout/time/nice 等)固定无法修改;npx、direnv exec、devbox run 等执行器不在其中——Bash(devbox run *) 实际上会匹配 devbox run rm -rf .,需要写具体子命令规则。

来源

• Configure permissions — Claude Code Docs
• Commands — Claude Code Docs
• Auto mode configuration — Claude Code Docs