🔐 Гайд по системе разрешений Claude Code

Bash command

   ls -lah /var/backups/dev-pro/ 2>/dev/null || echo "No dev-pro backups"
   Check dev-pro backups

 Do you want to proceed?
 ❯ 1. Yes
   2. Yes, allow reading from dev-pro/ from this project
   3. Tell Claude what to do differently

Read file

   /var/backups/marketplace/db/marketplace-db-20251112.db.gz
   Read backup file to check size

 Do you want to proceed?
 ❯ 1. Yes
   2. Yes, allow reading from /var/backups/marketplace/ from this project
   3. Tell Claude what to do differently

Bash(rm -rf /tmp/test-folder)   ← удаление, лучше один раз

Read(//var/backups/**)           ← чтение бекапов, безопасно
Bash(rclone ls yandex:*)         ← просмотр Яндекс.Диска, безопасно
Bash(du -sh /opt/*)              ← размер файлов, безопасно

Bash(rm -rf *)                   ← ОПАСНО! Может удалить всё!
Bash(sudo dd if=/dev/zero)       ← ОПАСНО! Затрёт диск!

ls, cat, grep, find              ← просмотр
du, df, free, uptime             ← статистика
ps, top, htop                    ← процессы
git status, git log              ← git (только чтение)
which, whereis                   ← поиск программ
rclone ls, rclone about          ← просмотр облака

chmod, chown                     ← изменение прав
mkdir, touch                     ← создание файлов
cp, mv                           ← копирование/перемещение
git add, git commit              ← изменение git

rm, rmdir                        ← удаление
sudo rm                          ← удаление с правами root
dd                               ← низкоуровневое копирование
mkfs                             ← форматирование диска

Read(/$WORKSPACE/**)  ← рабочая папка
Read(//var/log/**)               ← логи
Read(//etc/**)                   ← конфиги системы
Read(//var/backups/**)           ← бекапы

Read(//root/.ssh/**)             ← SSH ключи (секреты!)
Read(//.env)                     ← переменные окружения (пароли!)

Write(/$WORKSPACE/scripts/**)  ← скрипты workspace
Write(//tmp/**)                            ← временные файлы

Write(//etc/passwd)               ← системный файл!
Write(//.env)                     ← может перезаписать пароли!

❓ Запрос: ls -lah /var/backups/dev-pro/

✅ Ответ: Вариант 2 (allow reading from /var/backups/)

Почему: Чтение бекапов безопасно, буду делать часто

❓ Запрос: apt-get install -y rclone

✅ Ответ: Вариант 2 (allow apt-get install)

Почему: Установка безопасна, использую -y флаг

❓ Запрос: rm /tmp/old-backup.tar.gz

✅ Ответ: Вариант 1 (Yes, один раз)

Почему: Удаление - потенциально опасно, лучше контролировать

❓ Запрос: rm -rf /opt/*

🛑 Ответ: Вариант 3 (Tell Claude...)

Почему: ОПАСНО! Может удалить весь /opt/

$WORKSPACE/.claude/settings.local.json

{
  "permissions": {
    "allow": [
      "Bash(ls:*)",              // Любой ls
      "Read(//var/backups/**)",  // Чтение из /var/backups/
      "Bash(rclone ls:*)"        // rclone ls с любыми параметрами
    ]
  }
}

{
  "permissions": {
    "allow": ["Bash(*)", "Read(**)", "Write(**)"]
  }
}