Правила разрешений Claude Code и settings.json: allow / ask / deny

Правила разрешений Claude Code позволяют задать в settings.json allow / ask / deny: какие инструменты, команды, файлы и домены разрешать без подтверждения, запрашивать или запрещать. Ими можно делиться в команде, блокировать совпавшие вызовы и сокращать одобрения проверенных регулярных задач. Но они не перекрывают автоматически другие формы вызова той же программы и доступ через скрипты.

В этом руководстве разбираем, что такое правила разрешений (и чем они отличаются от режимов разрешений), приоритет allow/ask/deny, синтаксис правил, иерархию settings.json и практические рецепты — всё на основе официальной спецификации.

1. Что такое правила разрешений (в сравнении с режимами)

Claude Code использует многоуровневую систему разрешений. В Manual чтение рабочей области обычно не требует подтверждения, а правки и Bash обычно требуют его; встроенные команды только для чтения и allow — исключения. На этой основе правила задают отдельные исключения (источник: официальная документация «Configure permissions»).

Не путайте их с режимами разрешений: режим задаёт общую политику подтверждений (default, acceptEdits, auto), а правило — отдельные инструменты и команды. Они работают вместе: режим задаёт основу, правило меняет её указаниями «всегда разрешать это» или «запретить этот вызов».

2. allow / ask / deny и приоритет

Существует три типа правил. Команда /permissions показывает и редактирует их (а также указывает, из какого settings.json каждое из них пришло).

Порядок проверки: deny → ask → allow. Среди обычных правил настроек исход определяет первое совпадение; конкретность не меняет порядок. Общий deny Bash(aws *) блокирует и более узкий allow Bash(aws s3 ls). Allow не отменяет совпавший deny. Отрицание относительных путей Read/Edit — отдельная возможность.

3. Синтаксис правил (Tool(specifier))

Формат — Tool (всё) или Tool(specifier) (конкретное). У каждого инструмента свой стиль спецификатора.

Правила MCP действуют только на сервер, который в них назван. Начиная с v2.1.299 (14 октября 2026 года), mcp__a не разрешает другим серверам с именами a__b или a_. Для сервера, в имени которого есть __ или которое заканчивается на _, пишите полное нормализованное имя с суффиксом __*, например mcp__reports__v2__* (официальная документация и журнал изменений, проверено 18 октября 2026 года).

Wildcard-символы в Bash могут стоять где угодно. Bash(ls *) (пробел + *) совпадает с ls -la, но не с lsof (граница слова); Bash(ls*) (без пробела) совпадает с обоими. Завершающее :* эквивалентно *.

// Разрешаем или запрещаем указанные вызовы, но не все пути к той же программе
{
  "permissions": {
    "allow": [
      "Bash(npm run *)",
      "Bash(git commit *)"
    ],
    "deny": [
      "Bash(git push *)"
    ]
  }
}

Составные команды проверяются по подкомандам; распознанные обёртки снимаются перед оценкой. Но другая форма вызова той же программы может не совпасть: Bash(git push *) не совпадает с git -C . push. Встроенные команды только для чтения обычно пропускают подтверждение, но ограничения чтения вне рабочей области и ожидание классификатора auto — отдельные условия.

Пути Read/Edit следуют семантике gitignore с четырьмя якорями:

* /Users/... НЕ является абсолютным — он отсчитывается от точки отсчёта файла настроек (для настроек проекта это корень проекта). В пользовательских настройках Read(/secrets/**) означает ~/.claude/secrets/**, поэтому для правила, действующего во всех проектах, пишите // или ~/. Для абсолютных путей используйте //Users/... (двойной слеш). Read(.env) равно Read(**/.env) и совпадает с каждым .env ниже по дереву.

4. Иерархия и приоритет settings.json

Значения настроек разрешаются по иерархии. Для правил разрешений совпавший deny оценивается до allow. Таблица описывает приоритет правил файлов настроек и CLI, а не абсолютную гарантию с учётом изменений решений модами.

// .claude/settings.json (общие для команды)
{
  "permissions": {
    "defaultMode": "acceptEdits",
    "allow": ["Bash(npm run *)", "WebFetch(domain:docs.example.com)"],
    "deny": ["Read(.env)", "Read(**/secrets/**)", "Bash(git push *)"],
    "additionalDirectories": ["../shared-lib"]
  }
}

Здесь же задаётся режим разрешений по умолчанию — через defaultMode (подробнее о режимах). Однако auto и bypassPermissions в настройках проекта (.claude/settings.json, .claude/settings.local.json) не действуют — их прописывают в пользовательских или управляемых настройках. Чтобы читать/редактировать за пределами рабочего каталога, добавьте пути в additionalDirectories.

5. Практические рецепты

Начните с узких allow для проверенных регулярных вызовов и ask/deny для ограничиваемых вызовов. Это не контролирует автоматически другие формы той же операции и всё содержимое разрешённого скрипта.

Сопоставления аргументов Bash недостаточно для принудительного ограничения URL. Даже запрет curl/wget и использование WebFetch оставляют абсолютные пути, sh -c и связь через другие программы. Доменные правила WebFetch контролируют этот инструмент, а не весь трафик Bash. Для ограничения адресатов сочетайте меры, например сетевой список разрешений песочницы, и отдельно контролируйте инструменты и повторные попытки вне неё.

6. Подводные камни и частые путаницы

• Deny обеспечивает Claude Code, а не модель. Фраза «не читай это» в промпте или CLAUDE.md не остановит чтение без правила.
• Deny Read/Edit не останавливает косвенный доступ. Оно действует на встроенные файловые инструменты и cat/head/sed, но не на открытие файлов скриптами Python/Node. Рекурсивные операции без имени целевого файла, например grep -r pattern ., тоже исключение. Ограничения ОС действуют на процессы внутри песочницы; встроенный Read, MCP и другие пути требуют отдельного контроля.
• Следите за «запускателями» окружения. devbox run *, npx и docker exec выполняют свои аргументы как команду, поэтому Bash(devbox run *) заодно разрешает devbox run rm -rf .. Пишите правила, включающие внутреннюю команду.
• Хуки не отменяют правила. Хук PreToolUse расширяет разрешения, но deny/ask оцениваются независимо от его результата. Однако tool.check мода может заменить решение позднее: одобрить ask, а в личной среде без управляемых настроек — и deny. На управляемых машинах и Team/Enterprise deny по умолчанию приоритетен, но настройки организации могут это изменить. Нужно оценивать доверие к установленным модам.
• В auto mode даже команда из списка allow может уйти на проверку классификатору. При входе в auto mode широкие правила allow, разрешающие выполнение произвольного кода (сплошной Bash(*), интерпретаторы с подстановкой вроде Bash(python*), команды run менеджеров пакетов, правила Agent и т. п.), снимаются и возвращаются при выходе из режима; узкие правила вроде Bash(npm test) остаются. Правила совпадают только в том виде, как они написаны, поэтому Bash(git push *) не совпадает с git -C . push, а команду, не подошедшую ни под одно правило, оценивает классификатор. Запись в защищённые пути тоже уходит классификатору, даже если есть подходящее правило allow. Если заблокировано законное действие, его можно повторить из Recently blocked (до v2.1.314 — Recently denied) в /permissions (см. режимы разрешений). На GitHub есть и issue о том, что блокируются команды из списка allow (например, #95996). Этот пункт основан на официальной документации (Choose a permission mode) по состоянию на 9 октября 2026 года.

* Поведение сверено с официальными документами Claude Code Configure permissions / Settings files and precedence / Choose a permission mode по состоянию на 9 октября 2026 года. Оно может измениться: проверяйте актуальную документацию.

Итоги

Три вывода о правилах разрешений Claude Code.

• Что это: allow/ask/deny в settings.json, чтобы разрешать/спрашивать/запрещать по инструменту, команде, файлу и домену. Режимы задают базовую линию; правила решают частности.
• Приоритет: deny → ask → allow (первое совпадение; конкретность не влияет). Среди правил настроек allow не отменяет совпавший deny. Уровни: managed > CLI > local > project > user.
• Синтаксис: Tool(specifier). Bash использует wildcard-символы (пробел + * = граница слова), Read/Edit используют пути в стиле gitignore, WebFetch использует domain:. В составных командах должна совпадать каждая подкоманда.

Понимайте область совпадения правил и сокращайте только нужные одобрения. Сочетайте их с режимами разрешений и хуками. Для принудительных ограничений файлов и сети рассмотрите песочницу. Различайте, какой слой охватывает какой путь.

Если вам нужны только исследование текущего состояния и рекомендации без изменения кода, см. статью о том, как использовать Codex и Claude Code только для исследования. В руководстве есть действия для приложения, IDE и CLI, а также запрос, который требует остановиться до реализации.

FAQ

Область действия и исключения прав и изоляции повторно сверены с официальными источниками 9 октября 2026 года. Настройки устройств не менялись, проверки запуска не проводились.