permission rules (権限ルール)

ルールには、手動の承認なしで使わせる allow、使うたびに確認を求める ask、使わせない deny の 3 種類があります。ルールはモデルではなく Claude Code 自体が適用します。

権限ルールは Tool または Tool(specifier) の形式で書きます。

• Bash: * は空白を含む任意の文字列に一致し、1 つのルールで一連のコマンドをまとめて扱えます。* の無いルールは 1 つのコマンドに完全一致します。確認なしで実行させたいコマンドを書き、変わる部分を * に置き換えます。
• 複合コマンド: Claude Code はシェルの演算子を認識するため、Bash(safe-cmd *) で safe-cmd && other-cmd の実行は許可されません。複合コマンドを「Yes, and don't ask again」で承認すると、承認が必要なサブコマンドごとに別々のルールが保存されます。
• 入力パラメータ: deny と ask のルールは、組み込みツールの最上位の入力パラメータに Tool(param:value) で一致させられます。
• Read: ファイルツールによる読み取りを防ぐには、Read(./.env) や Read(./secrets/**) のようにパスを指定した Read の deny ルールを追加します。
• WebFetch: domain: の接頭辞を使い、要求された URL のホスト名に一致させます。
• MCP: サーバーの全ツールには mcp__<server>__*、特定のツールには完全な名前 mcp__<server>__<tool> を書きます。
• Agent (subagents): 特定のサブエージェントを無効にするには、設定の deny 配列に Agent(AgentName) のルールを加えるか、--disallowedTools の CLI フラグを使います。
• Cd: ツール名だけの Cd の deny ルールは /cd 全体を無効にし、Cd(<path-pattern>) は一致する移動先をブロックします。
• PowerShell: よく使われるエイリアスは照合前に正規化され、PowerShell(Get-ChildItem *) は gci、ls、dir にも一致します。

• Bash のようにツール名だけを書いた deny ルールは、そのツールを Claude のコンテキストから完全に取り除きます。Bash(rm *) のように範囲を絞ったルールでは、ツール自体は残り、一致する呼び出しだけがブロックされます。
• Bash のルールは、同じプログラムを別の形で呼び出した場合には一致しません。そのため deny や ask のルールは、プログラムを囲むセキュリティ境界ではありません。
• PreToolUse フックの判定は権限ルールを迂回しません。フックが allow や ask を返しても、一致する deny ルールは呼び出しをブロックし、一致する ask ルールは確認を求めます。
• プロジェクトレベルの deny と ask のルールは制限するだけのものなので、workspace trust の影響を受けません。

• 「Yes, and don't ask again」を選んで承認が恒久的に保存される場合 (Bash コマンドや WebFetch のドメインなど)、ルールは git リポジトリのルートにある .claude/settings.local.json に保存されます。このルールは、サブディレクトリや worktree で始めたセッションを含め、そのリポジトリ内の今後のセッションに適用されます。
• VS Code では Permission rules ダイアログで権限ルールを一覧でき、user・project・local の設定でルールを追加・削除できます。起動オプション、セッション限定、managed のルールは読み取り専用です。
• managed の権限ルールについては、ユーザーがインストールした mod に対する適用が改善されています。
• 対象プランは公式のリリースノートには記載がありません。

1. Claude Code で /permissions を実行し、ツールの権限を表示・管理するダイアログを開きます。
2. ダイアログで、すべての権限ルールと、各ルールの出どころである settings.json ファイルを確認します。
3. 必要に応じてルールを追加・削除します。Claude の作業中でもダイアログを開くことができ、変更は同じターン内の次のツール呼び出しから適用されます。