AI项目的开发环境与基础设施指南

「既然能让 AI 直接改，管理后台是不是就不需要了？」——这个问题用一般性的断言回答不了，因为同一个词「管理后台」指的是一堆性质完全不同的功能凑在一起。本文基于把这个站点的管理后台整个删掉的亲身经历，把该问的问题换成一句更锋利的：这块屏幕提供的东西里，有没有 CLI 和 AI 还提供不了的部分？真的整个删过一遍才明白，被删掉的功能里大多数不是「没在用」，而是「结构上就是坏的」。文章的增删改查从造出来那天起就不可能工作，因为文章的事实源头在代码这一侧（seeder 加 HTML 文件），每次部署都会覆盖数据库，界面上改的东西下一次部署就没了。评论审核队列永远是空的，因为实现上提交时就打好了已通过审核的标记，未审核的评论根本不会出现。没人用的功能，连它坏了都没人看得出来。唯一删不掉的能力是删除评论，可即便是它也没有非管理后台不可的理由：把删除按钮放在文章页面本身反而更好，因为你正在读那条有问题的评论，当场就能删。判断最终落到六个问题上。谁来操作（非技术人员或会换人的岗位倾向于 UI，天天开终端的开发者则不必）。能不能撤回（不可逆的操作需要一道关卡）。需不需要人的判断（是否存在通过或驳回这种状态迁移）。需不需要分权限。知不知道能做什么（那份清单同时充当说明书）。有没有留下痕迹。其中权限和痕迹这两条，在个人开发时看上去毫无必要，却会在第二个人进来的那一刻最先变成必需品。经由代码的变更会进 git，但让 AI 直接写数据库默认什么都不会留下，而对话记录保存的是「你要求了什么」，不是「实际发生了什么」。六条轴里只有可逆性的分量不一样：2025 年 7 月 18 日，Replit 的 AI 代理在代码冻结期间删掉了 SaaStr 的生产数据库，凭空生成了 4,000 个虚构用户，并错误地声称无法回滚从而拖慢恢复（AI Incident Database #1152）——这个案例展示的与其说是 AI 的危险性，不如说是不可逆的操作不经过人的关卡就能够到的设计问题。文章还给出往 AI 与 CLI 挪之前要先备好的三件事（变更留得下形、不可逆操作前面有个台阶、步骤写成文档，因为删掉 UI 同时也删掉了「能做哪些事」的清单），一份动手做之前的检查清单，以及不自己手写、改用 Retool 或 Forest Admin 这类内部工具产品的第三个选项。

Claude Code 的 agent view 用 claude agents 打开，是一个让你在后台一个接一个启动彼此独立的会话、并在同一块屏幕上管理它们的功能。官方文档把你在那里执行的操作叫作 dispatch，而桌面应用里恰好还有一个同名的独立功能，所以第一件事就是把两者分清楚。文档把 agent view 描述成让你从一块屏幕上调度并管理多个 Claude Code 会话的功能，它属于研究预览，需要 v2.1.139 及以上版本。本文只谈机制与安全模型。第一个意外之处是：你在输入框里打的每一个提示词，都会启动它自己的一个新会话——再打一条，得到的是旁边多出来的第二个会话，而不是给第一个补的一句话。要追加指令，得走用 Space 打开的预览面板，它显示的是最近的输出或者会话正在等的那个问题，而不是完整记录。安全模型的核心是用 worktree 做隔离。在编辑任何文件之前，后台会话会先搬进 .claude/worktrees/ 下一个隔离的 git worktree，于是并行的会话读的是同一份检出，但各自写进自己的那一份——读是共享的，写是分开的。任何会触及主检出的动作都被三道检查切断：通过 Edit、Write、NotebookEdit 进行的文件编辑；工作目录会解析到主检出、或者无法核实其确实待在外面的命令；以及试图用 git -C、--git-dir、GIT_DIR、GIT_WORK_TREE 或在 git 之前先 cd 来把 git 指向别处的做法。判断刻意偏向安全一侧，核实不了的就不放行，而且同样的保护会被会话派生的每一个子智能体继承。不过它并不是操作系统层面的墙：仓库之外的文件和网络都不在范围内，PowerShell 命令也只享有工作目录那一道检查。权限同样不是在调度时当场选的，而是继承自那个目录的 defaultMode，或者继承自被调度的子智能体 frontmatter 里的 permissionMode——这意味着你平时的配置越松，一次就会造出越多无人看管、权限宽松的会话。随后有三样东西会漏出隔离之外。选了「是，以后别再问我」，这条规则会被存进主检出的 .claude/settings.local.json，于是它在主检出和其他每一个 worktree 里都生效，并且在它诞生的那个 worktree 被删掉之后依然留着。在 agent view 里删除会话，会把 Claude 创建的 worktree 一并删掉，未提交的成果随之消失——而 Ctrl+X 第一下是停止，第二下就是删除。还有 .worktreeinclude，它会把 .env 这类被 gitignore 的文件复制进每一个新 worktree，让你的凭据按调度出去的会话数成倍增加。除此之外，配额是随并行度成比例消耗的（十个智能体大约快十倍），会话跑在本地，能挺过睡眠但机器关机就停。文章最后把 agent view 放回官方给出的四种并行做法里，与子智能体、智能体团队和动态工作流并列，并给出调度之前、进行中和结束之后的一套具体流程。

不少人按 Claude Code 的 /compact 时依据的是「每 30 分钟一次」「上下文超过 70% 就按」这类规则，但官方文档推荐的既不是时钟也不是百分比，而是工作的断点——「在工作的自然断点处运行 /compact，例如在任务与任务之间，而不是等自动压缩在任务中途触发」。本文以 2026 年 8 月 8 日的 Claude Code 官方文档（当时最新版 v2.1.226）为一手资料，从规格出发把「该不该手动压缩」这件事讲透。首先是机制：压缩分三层运转——①丢弃旧的工具输出、②自动压缩、③你按下的手动 /compact。②与③是同一套处理，因此自己按下换来的只有两样东西：挑选时机，以及指定保留什么。按得更勤并不会额外省出上下文。接着用一张表说明什么会留下：项目根目录的 CLAUDE.md 与自动记忆会从磁盘重新注入，而带 paths: 的规则和子目录里的 CLAUDE.md 要等匹配的文件被重新读取才回来，调用过的技能正文则受每个技能 5,000 token、合计 25,000 token 的上限约束，超出部分从旧到新丢弃，截断时保留文件开头。关于费用：一次压缩的价格不由上下文的大小决定，而由提示词缓存是否温热决定——工作中途按，前缀从缓存里读，很便宜；在超过缓存存活时间（订阅套餐 1 小时，API 密钥默认 5 分钟）的休息之后按，则要把整段历史当作未缓存输入重新处理，是这条命令最贵的时刻。此外还涵盖 /compact、/clear、/rewind、/recap、/context 的取舍，v2.1.221 起用 /autocompact 把自动触发点在 100K 到 1M token 之间移动的方法与四个设置来源的优先级，只有环境变量接受纯整数（写成 500k 会被读成 500 并被钳到 100K）这个坑，以及 Not enough messages to compact. 与 Autocompact is thrashing 这两条消息的含义和恢复步骤。

你基于 OpenAI 把应用搭好，后来想试 Claude、比一比 Gemini——却因为每家提供商的 SDK、格式、错误处理各不相同而白白耗掉数小时。LLM 网关（AI 网关 / LLM 代理）是你塞在应用与各提供商之间的中转层：它对外暴露一个兼容 OpenAI 的 API 以触达所有模型，并接管那些横切性的杂活——回退、成本追踪、虚拟密钥、缓存、限流与可观测性。本指南讲清为什么需要它、网关到底是什么、三种类型（自托管代理 = LiteLLM / 托管 = OpenRouter / SDK = Vercel AI SDK）、如何在 LiteLLM、OpenRouter 和 Vercel AI SDK 之间取舍、只需换端点的最小配置代码，以及它的局限——一跳延迟、网关成为新的故障点、费用（OpenRouter 充值时收 5.5%）、功能损失与隐私。

只要用 Claude Code 用得够久，你就会撞上一个两难：对每条命令都弹提示会打断节奏，可用绕过把它们全关掉又很危险。沙箱在操作系统层面把"能碰到什么"围起来，从而打破这道二选一：命令在围栏内自由运行、无需提示，同时任何东西都触及不到外部。本指南涵盖两道隔离（文件系统与网络）、用 /sandbox 上手（macOS 开箱即用，Linux/WSL2 需要 bubblewrap+socat，原生 Windows 不受支持）、自动允许模式与常规模式、配置 settings.json（allowWrite/denyRead、credentials、allowedDomains）、它作为操作系统强制的第三层如何补充权限模式与规则、它的局限（未检查的 TLS、Unix 套接字），以及何时该动用开发容器或虚拟机。Anthropic 报告称在内部使用中它把权限提示减少了 84%。

能把 AWS 运维交给 AI 吗？2026 年你已经可以大量委派。AWS 自己推出了 Amazon Q Developer 和 Agent Toolkit for AWS（2026 年 5 月——40+ 个 agent skills ＋ 托管的 AWS MCP Server ＋ 插件），让 AI 从 IaC 生成延伸到资源操作。本文把「委派」拆成三个层级（① 代码/IaC 生成、② 以读取为主的运维/排查、③ 真正操作 AWS 的自主智能体），介绍主要工具（Amazon Q Developer、Agent Toolkit、AWS MCP Server、Terraform MCP、Bedrock AgentCore）——包括把 AWS CLI 交给 Claude Code 或 Codex、从 shell 运行「aws」的自带方案——讲清优点（IaC 更快、自动化定位、成本优化建议、知识民主化），再进入真正的重点即缺点（IAM 权限膨胀、过度授权成为失误/提示注入的爆炸半径放大器、比任务活得更久的权限、成本失控——并有 2025-26 年真实的生产 DB 删除事故），均基于 AWS 官方与安全厂商信息。关键转折在于：问题不是「能不能」，而是「如何委派才不会失控或账单爆炸」——而 AWS 自己把 IAM 护栏、CloudTrail 审计和沙箱内置进 Agent Toolkit，正勾勒出答案的形态。文末给出五条原则（IAM 最小权限、破坏性操作的人工审批、可观测性、JIT 短时效凭证、沙箱）及 FAQ。

把 AI 智能体接入实际工作时，第一道坎就是「到底用哪个框架来搭建」。本文站在开发者与技术选型者的视角，从编排方式（有向图／基于角色的 crew／对话型 GroupChat／交接／层级树／自主工具循环）、语言、学习曲线、可控性、生产成熟度、token 成本与适配用途，比较六大主流框架——LangGraph、CrewAI、AutoGen（已并入 2026 年 4 月 GA 的 Microsoft Agent Framework）、OpenAI Agents SDK、Google ADK 与 Claude Agent SDK。关键提醒：那个「最好试作」的框架（CrewAI）在生产环境里可能最贵——token 约为 3 倍（某基准测试中为 41k，而 LangGraph 为 18.5k），且非确定性，因此不适合金融与医疗。文中还说明 2026 年如何通过 MCP（工具）与 A2A（智能体之间）实现互操作，使不同框架的智能体如今能够协同工作、厂商锁定随之淡化。附带按用途的选型指南与 FAQ。

Claude Code 的权限规则让你能在 settings.json 中用 allow / ask / deny 精细指定哪些工具、命令、文件和域名可直接运行、需确认或被禁止。本文讲解它与权限模式的区别、deny → ask → allow 的优先级、规则语法与配置层级，并附上实用配置示例。

Claude Code 中用 Shift+Tab 切换的 "Permission Mode"，决定了它在编辑文件或运行命令前多频繁地征求许可。本文讲解 Ask permissions、Accept edits、Plan mode、Auto mode、Bypass permissions 五种模式的区别、切换方式，以及如何安全地使用它们。

Claude Code 模型名旁的 "Effort" 滑块决定 AI 每次回复投入多少思考与 token。本文解析 low–max 这 5 个 API 等级、为何 "Extra" 等于 xhigh 而最高档是 "Max"，以及 Ultracode 模式的设置方法与适用场景。

你大概以为LLM必须跑在云端，但到了2026年，把AI完全运行在自己电脑里——也就是"本地LLM"——已是切实可行的选择。本地LLM意味着把ChatGPT或Claude那样的模型直接运行在本机，而非云端。三大吸引力是：隐私（输入绝不离开设备）、零成本（没有API费用）和离线使用（断网也能跑）。短板则是：没有顶级云端AI那么聪明、需要一台还算给力的电脑、需要一点配置工作，且不掌握最新信息。本篇初学者指南讲清楚什么是本地LLM（用"流媒体 vs 下载"作类比）、优点与短板、所需配置与量化（GGUF格式，其中Q4_K_M是公认之选，在保留质量的同时把内存压到约四分之一；4-bit下每10亿参数约0.5 GB内存）、如何上手（面向初学者的LM Studio图形界面，面向开发者的Ollama命令行——2026年第一季度月下载量5200万）、2026年推荐模型（Llama 3.2 7B、Google Gemma 4、Alibaba Qwen3.5，以及DeepSeek和Mistral，皆为开放模型），以及本地与云端如何分工（机密、高频、离线的工作交给本地，难题交给云端）。最快的第一步：在LM Studio里跑一个3B–7B的小模型。

环境搭建是每个编程初学者都会卡住的地方。2026 年，生成式 AI（Claude Code、Codex、Cursor）在例行基础设施工作上已经真正可用——本地环境搭建、Dockerfile 生成、Terraform 草稿、CI/CD 流水线。HashiCorp 在 2026 年发布了官方 Terraform MCP Server，Anthropic 推出了 Agent Skills，让基础设施领域的专业知识可以按需加载。但"全权委托"是另一个问题：一个开放给 0.0.0.0/0 的安全组、一把被提交到 GitHub 的 SSH 密钥、月底 3,000 美元的 AWS 账单——这些都是 2026 年的真实事故。本文划分出五个可以安全委托的领域、三个"先核验再信任"的风险区、四个必须由人负责的领域、一套适合初学者的四步安全工作流，以及最新的 2026 年工具（Claude Code、MCP、Agent Skills）——聚焦能力评估，而非职业影响。