尧图网页设计 
Dive into Claude Code 权限体系完全指南7种模式7层安全防护实现拒绝优先的Agent【免费下载链接】Dive-into-Claude-CodeA Systematic Analysis and Discussion of Claude Code for Designing Todays and Future AI Agent Systems项目地址: https://gitcode.com/gh_mirrors/di/Dive-into-Claude-CodeClaude Code 权限体系是当今 AI 编程智能体中最成熟的安全设计之一。本文基于对 Claude Codev2.1.88约 1,884 个 TypeScript 文件、51.2 万行代码的源码级分析带你快速读懂它的7 种权限模式、7 层安全防护与**拒绝优先Deny-first**决策逻辑——这也是所有构建 AI Agent 的人都该抄的作业。先说一个反直觉的结论Claude Code 的代码库里只有1.6% 是 AI 决策逻辑其余 98.4% 全是确定性基础设施——权限门控、上下文管理、工具路由和恢复逻辑。真正的护城河是智能体循环外围绕的那圈围栏。️ 权限系统在整体架构中的位置Claude Code 的系统由 7 个组件构成用户 → 入口 → 智能体循环 →权限系统→ 工具 → 状态与持久化 → 执行环境。权限系统不是一次性的启动检查而是贯穿每一轮的运行时闸门智能体循环每提出一次动作Propose Action都要先拿到 Allow / Ask / Deny 的裁决才能进入执行环境。一个值得玩味的细节所有入口交互式 CLI、headless 模式、SDK、IDE都汇聚到同一个queryLoop共享同一条权限检查代码路径。这意味着安全不是每个界面各写一套而是单一事实来源。⚙️ 授权管道 4 阶段一个动作如何获得通行证在 docs/architecture.md 的Permission System Deep Dive一节中授权流程被拆成 4 个阶段预过滤Pre-filtering被全局拒绝的工具直接从模型视野中剔除——模型根本不知道这个工具存在自然也就不会调用PreToolUse 钩子27 种钩子事件之一可以返回permissionDecision直接修改或拦截操作规则评估拒绝优先deny ask allow即使允许规则更具体宽范围的拒绝规则依然胜出权限处理程序按场景分 4 个分支处理——协调器、swarm worker、推测式分类器、交互式。上图就是权限门控的核心Tools 发起 Tool Use进入由Rules规则 Modes模式 Hooks钩子构成的 Policy Core产出 Permission Decision——Deny 则终止Allow 则进入执行环境Ask 则交给用户或 Auto 分类器裁决。️ 7 种权限模式一条渐进式信任光谱权限模式决定了基线行为从最严到最松依次排列完整表格见 README_zh.md 的安全与权限章节模式行为信任级别plan用户在执行前批准所有计划最低default标准交互批准每个敏感动作都弹窗低acceptEdits文件编辑 文件系统 shell 命令自动批准中autoML 分类器评估工具安全性高dontAsk无提示但拒绝规则仍强制执行较高bypassPermissions跳过大多数提示安全关键检查仍保留最高bubble内部模式子智能体向父级上报请示特殊 注意两个细节即使是最松的bypassPermissions安全相关的关键检查依然保留而dontAsk虽然不打扰你deny 规则照样生效。安全底线与用户体验在这里被刻意解耦了。️ 7 层安全防护深度防御的完整清单单点防御必然有缺口Claude Code 的答案是七层相互重叠的防护机制来源docs/architecture.md工具预过滤—— 全局被拒的工具彻底移出模型清单拒绝优先规则评估—— deny 永远覆盖 allow权限模式约束—— 当前活跃模式决定基线处理Auto 模式 ML 分类器—— 独立的 LLM 调用单独评估安全性Shell 沙箱—— 对 shell 命令实施文件系统 网络隔离会话级权限状态—— 会话内的应用白名单、bypass 标志不随 resume 恢复重启即失效防止临时授权变永久特权基于钩子的拦截—— PreToolUse 钩子可修改或阻止任意操作。从 5 层子系统图可以看到权限系统、钩子管道与 Shell 沙箱共同构成中间的Safety / Action 层把 Core 层的智能体循环与 Backend 层的执行后端隔开——即使模型被提示注入带偏动作也过不了这层闸门。 Auto 模式分类器93% 批准率逼出的智能审批权限体系演进的起点是一个尴尬的数据真实使用中93% 的权限弹窗都被用户点了允许。Anthropic 的应对不是加更多警告而是承认审批疲劳approval fatigue——人在疲劳时只是橡皮图章。于是yoloClassifier.ts登场它在独立 LLM 调用中加载基础系统提示 内部/外部两套权限模板采用两阶段评估快速过滤 思维链并与超时时限赛跑。效果在 1,053 名测试者的研究中可见注入的危险命令分类器拦截率 89%而疲劳的人工审查员只有 13.6%有害动作率从 6.3% 降到 2.4%。 边界情况与已知盲区有界分析Bash 旧解析路径中命令拆出的子命令超过 50 个时直接返回ask——宁可多问一句也不让逐个分析拖垮事件循环且它请求的是批准决策而非自动放行预信任窗口两个已修复的 CVE 根因相同——钩子和 MCP 服务器会在初始化阶段、信任对话框弹出之前就已执行形成一个绕开 deny-first 管道的特权窗口。这说明拒绝优先再严密也要警惕流程起点之外的缝隙。 构建自己的 Agent 权限体系5 条可复用的经验#经验一句话解释1默认拒绝而非默认允许未识别的动作应升级给人而不是放行2信任是光谱不是开关给用户可遍历的渐进模式plan → bypass3深度防御层层重叠过滤、规则、沙箱、钩子各守一段4临时授权必须有生命周期会话级授权重启即失效不持久化5用分类器对抗审批疲劳弹窗点得太快说明该重新划分边界了完整的设计决策推演包括你的安全姿态应该是什么可参阅项目中的构建指南与 论文原文。核心循环很容易复制而横跨各层的权限钩子、分类器与沙箱隔离才是真正难以复刻的工程复杂度——这大概就是 1.6% 与 98.4% 之间藏着的秘密。【免费下载链接】Dive-into-Claude-CodeA Systematic Analysis and Discussion of Claude Code for Designing Todays and Future AI Agent Systems项目地址: https://gitcode.com/gh_mirrors/di/Dive-into-Claude-Code创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 Dive into Claude Code 权限体系完全指南：7种模式+7层安全防护，实现“拒绝优先“的Agent
Dive into Claude Code 权限体系完全指南7种模式7层安全防护实现拒绝优先的Agent【免费下载链接】Dive-into-Claude-CodeA Systematic Analysis and Discussion of Claude Code for Designing Todays and Future AI Agent Systems项目地址: https://gitcode.com/gh_mirrors/di/Dive-into-Claude-CodeClaude Code 权限体系是当今 AI 编程智能体中最成熟的安全设计之一。本文基于对 Claude Codev2.1.88约 1,884 个 TypeScript 文件、51.2 万行代码的源码级分析带你快速读懂它的7 种权限模式、7 层安全防护与**拒绝优先Deny-first**决策逻辑——这也是所有构建 AI Agent 的人都该抄的作业。先说一个反直觉的结论Claude Code 的代码库里只有1.6% 是 AI 决策逻辑其余 98.4% 全是确定性基础设施——权限门控、上下文管理、工具路由和恢复逻辑。真正的护城河是智能体循环外围绕的那圈围栏。️ 权限系统在整体架构中的位置Claude Code 的系统由 7 个组件构成用户 → 入口 → 智能体循环 →权限系统→ 工具 → 状态与持久化 → 执行环境。权限系统不是一次性的启动检查而是贯穿每一轮的运行时闸门智能体循环每提出一次动作Propose Action都要先拿到 Allow / Ask / Deny 的裁决才能进入执行环境。一个值得玩味的细节所有入口交互式 CLI、headless 模式、SDK、IDE都汇聚到同一个queryLoop共享同一条权限检查代码路径。这意味着安全不是每个界面各写一套而是单一事实来源。⚙️ 授权管道 4 阶段一个动作如何获得通行证在 docs/architecture.md 的Permission System Deep Dive一节中授权流程被拆成 4 个阶段预过滤Pre-filtering被全局拒绝的工具直接从模型视野中剔除——模型根本不知道这个工具存在自然也就不会调用PreToolUse 钩子27 种钩子事件之一可以返回permissionDecision直接修改或拦截操作规则评估拒绝优先deny ask allow即使允许规则更具体宽范围的拒绝规则依然胜出权限处理程序按场景分 4 个分支处理——协调器、swarm worker、推测式分类器、交互式。上图就是权限门控的核心Tools 发起 Tool Use进入由Rules规则 Modes模式 Hooks钩子构成的 Policy Core产出 Permission Decision——Deny 则终止Allow 则进入执行环境Ask 则交给用户或 Auto 分类器裁决。️ 7 种权限模式一条渐进式信任光谱权限模式决定了基线行为从最严到最松依次排列完整表格见 README_zh.md 的安全与权限章节模式行为信任级别plan用户在执行前批准所有计划最低default标准交互批准每个敏感动作都弹窗低acceptEdits文件编辑 文件系统 shell 命令自动批准中autoML 分类器评估工具安全性高dontAsk无提示但拒绝规则仍强制执行较高bypassPermissions跳过大多数提示安全关键检查仍保留最高bubble内部模式子智能体向父级上报请示特殊 注意两个细节即使是最松的bypassPermissions安全相关的关键检查依然保留而dontAsk虽然不打扰你deny 规则照样生效。安全底线与用户体验在这里被刻意解耦了。️ 7 层安全防护深度防御的完整清单单点防御必然有缺口Claude Code 的答案是七层相互重叠的防护机制来源docs/architecture.md工具预过滤—— 全局被拒的工具彻底移出模型清单拒绝优先规则评估—— deny 永远覆盖 allow权限模式约束—— 当前活跃模式决定基线处理Auto 模式 ML 分类器—— 独立的 LLM 调用单独评估安全性Shell 沙箱—— 对 shell 命令实施文件系统 网络隔离会话级权限状态—— 会话内的应用白名单、bypass 标志不随 resume 恢复重启即失效防止临时授权变永久特权基于钩子的拦截—— PreToolUse 钩子可修改或阻止任意操作。从 5 层子系统图可以看到权限系统、钩子管道与 Shell 沙箱共同构成中间的Safety / Action 层把 Core 层的智能体循环与 Backend 层的执行后端隔开——即使模型被提示注入带偏动作也过不了这层闸门。 Auto 模式分类器93% 批准率逼出的智能审批权限体系演进的起点是一个尴尬的数据真实使用中93% 的权限弹窗都被用户点了允许。Anthropic 的应对不是加更多警告而是承认审批疲劳approval fatigue——人在疲劳时只是橡皮图章。于是yoloClassifier.ts登场它在独立 LLM 调用中加载基础系统提示 内部/外部两套权限模板采用两阶段评估快速过滤 思维链并与超时时限赛跑。效果在 1,053 名测试者的研究中可见注入的危险命令分类器拦截率 89%而疲劳的人工审查员只有 13.6%有害动作率从 6.3% 降到 2.4%。 边界情况与已知盲区有界分析Bash 旧解析路径中命令拆出的子命令超过 50 个时直接返回ask——宁可多问一句也不让逐个分析拖垮事件循环且它请求的是批准决策而非自动放行预信任窗口两个已修复的 CVE 根因相同——钩子和 MCP 服务器会在初始化阶段、信任对话框弹出之前就已执行形成一个绕开 deny-first 管道的特权窗口。这说明拒绝优先再严密也要警惕流程起点之外的缝隙。 构建自己的 Agent 权限体系5 条可复用的经验#经验一句话解释1默认拒绝而非默认允许未识别的动作应升级给人而不是放行2信任是光谱不是开关给用户可遍历的渐进模式plan → bypass3深度防御层层重叠过滤、规则、沙箱、钩子各守一段4临时授权必须有生命周期会话级授权重启即失效不持久化5用分类器对抗审批疲劳弹窗点得太快说明该重新划分边界了完整的设计决策推演包括你的安全姿态应该是什么可参阅项目中的构建指南与 论文原文。核心循环很容易复制而横跨各层的权限钩子、分类器与沙箱隔离才是真正难以复刻的工程复杂度——这大概就是 1.6% 与 98.4% 之间藏着的秘密。【免费下载链接】Dive-into-Claude-CodeA Systematic Analysis and Discussion of Claude Code for Designing Todays and Future AI Agent Systems项目地址: https://gitcode.com/gh_mirrors/di/Dive-into-Claude-Code创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考