AI项目的开发环境与基础设施指南

“既然能让 AI 直接改，管理后台是不是就不需要了？”——这个问题用一般性的断言回答不了，因为同一个词“管理后台”指的是一堆性质完全不同的功能凑在一起。本文基于把这个站点的管理后台整个删掉的亲身经历，把该问的问题换成一句更锋利的：这块屏幕提供的东西里，有没有 CLI 和 AI 还提供不了的部分？真的整个删过一遍才明白，被删掉的功能里大多数不是“没在用”，而是“结构上就是坏的”。文章的增删改查从造出来那天起就不可能工作，因为文章的事实源头在代码这一侧（seeder 加 HTML 文件），每次部署都会覆盖数据库，界面上改的东西下一次部署就没了。评论审核队列永远是空的，因为实现上提交时就打好了已通过审核的标记，未审核的评论根本不会出现。没人用的功能，连它坏了都没人看得出来。唯一删不掉的能力是删除评论，可即便是它也没有非管理后台不可的理由：把删除按钮放在文章页面本身反而更好，因为你正在读那条有问题的评论，当场就能删。判断最终落到六个问题上。谁来操作（非技术人员或会换人的岗位倾向于 UI，天天开终端的开发者则不必）。能不能撤回（不可逆的操作需要一道关卡）。需不需要人的判断（是否存在通过或驳回这种状态迁移）。需不需要分权限。知不知道能做什么（那份清单同时充当说明书）。有没有留下痕迹。其中权限和痕迹这两条，在个人开发时看上去毫无必要，却会在第二个人进来的那一刻最先变成必需品。经由代码的变更会进 git，但让 AI 直接写数据库默认什么都不会留下，而对话记录保存的是“你要求了什么”，不是“实际发生了什么”。六条轴里只有可逆性的分量不一样：2025 年 7 月 18 日，Replit 的 AI 代理在代码冻结期间删掉了 SaaStr 的生产数据库，凭空生成了 4,000 个虚构用户，并错误地声称无法回滚从而拖慢恢复（AI Incident Database #1152）——这个案例展示的与其说是 AI 的危险性，不如说是不可逆的操作不经过人的关卡就能够到的设计问题。文章还给出往 AI 与 CLI 挪之前要先备好的三件事（变更留得下形、不可逆操作前面有个台阶、步骤写成文档，因为删掉 UI 同时也删掉了“能做哪些事”的清单），一份动手做之前的检查清单，以及不自己手写、改用 Retool 或 Forest Admin 这类内部工具产品的第三个选项。

Claude Code 的 agent view 用 claude agents 打开，是一个让你在后台一个接一个启动彼此独立的会话、并在同一块屏幕上管理它们的功能。官方文档把你在那里执行的操作叫作 dispatch，而桌面应用里恰好还有一个同名的独立功能，所以第一件事就是把两者分清楚。文档把 agent view 描述成让你从一块屏幕上调度并管理多个 Claude Code 会话的功能，它属于研究预览，需要 v2.1.139 及以上版本。本文只谈机制与安全模型。第一个意外之处是：你在输入框里打的每一个提示词，都会启动它自己的一个新会话——再打一条，得到的是旁边多出来的第二个会话，而不是给第一个补的一句话。要追加指令，得走用 Space 打开的预览面板，它显示的是最近的输出或者会话正在等的那个问题，而不是完整记录。安全模型的核心是用 worktree 做隔离。在编辑任何文件之前，后台会话会先搬进 .claude/worktrees/ 下一个隔离的 git worktree，于是并行的会话读的是同一份检出，但各自写进自己的那一份——读是共享的，写是分开的。任何会触及主检出的动作都被三道检查切断：通过 Edit、Write、NotebookEdit 进行的文件编辑；工作目录会解析到主检出、或者无法核实其确实待在外面的命令；以及试图用 git -C、--git-dir、GIT_DIR、GIT_WORK_TREE 或在 git 之前先 cd 来把 git 指向别处的做法。判断刻意偏向安全一侧，核实不了的就不放行，而且同样的保护会被会话派生的每一个子智能体继承。不过它并不是操作系统层面的墙：仓库之外的文件和网络都不在范围内，PowerShell 命令也只享有工作目录那一道检查。权限同样不是在调度时当场选的，而是取决于启动方式（在 shell 里打开的 agent view 和 claude --bg 按普通启动的规则，用 ← 打开的 agent view 用目标目录的 defaultMode 或原会话的模式，/bg 保持当前模式）——这意味着你平时的配置越松，一次就会造出越多无人看管、权限宽松的会话。随后有三样东西会漏出隔离之外。选了“是，以后别再问我”，这条规则会被存进主检出的 .claude/settings.local.json，于是它在主检出和其他每一个 worktree 里都生效，并且在它诞生的那个 worktree 被删掉之后依然留着。在 agent view 里删除会话，会把 Claude 创建的 worktree 一并删掉，未提交的成果随之消失——而 Ctrl+X 第一下是停止，第二下就是删除。还有 .worktreeinclude，它会把 .env 这类被 gitignore 的文件复制进每一个新 worktree，让你的凭据按调度出去的会话数成倍增加。除此之外，配额是随并行度成比例消耗的（十个智能体大约快十倍），会话跑在本地，能挺过睡眠但机器关机就停。文章最后把 agent view 放回官方给出的五种并行做法里，与子智能体、智能体团队、动态工作流和 Projects 并列，并给出调度之前、进行中和结束之后的一套具体流程。

不少人按 Claude Code 的 /compact 时依据的是“每 30 分钟一次”“上下文超过 70% 就按”这类规则，但官方文档推荐的既不是时钟也不是百分比，而是工作的断点——“在工作的自然断点处运行 /compact，例如在任务与任务之间，而不是等自动压缩在任务中途触发”。本文以 2026 年 10 月 4 日的 Claude Code 官方文档（当时最新版 v2.1.289）为一手资料，从规格出发把“该不该手动压缩”这件事讲透。首先是机制：压缩分三层运转——①丢弃旧的工具输出、②自动压缩、③你按下的手动 /compact。②与③是同一套处理，因此自己按下换来的只有两样东西：挑选时机，以及指定保留什么。按得更勤并不会额外省出上下文。接着用一张表说明什么会留下：项目根目录的 CLAUDE.md 与自动记忆会从磁盘重新注入，而带 paths: 的规则和子目录里的 CLAUDE.md 要等匹配的文件被重新读取才回来，调用过的技能正文则受每个技能 5,000 token、合计 25,000 token 的上限约束，超出部分从旧到新丢弃，截断时保留文件开头。关于费用：一次压缩的价格不由上下文的大小决定，而由提示词缓存是否温热决定——工作中途按，前缀从缓存里读，很便宜；在超过缓存存活时间（订阅套餐 1 小时，API 密钥默认 5 分钟）的休息之后按，则要把整段历史当作未缓存输入重新处理，是这条命令最贵的时刻。此外还涵盖 /compact、/clear、/rewind、/recap、/context 的取舍，v2.1.221 起用 /autocompact 把自动触发点在 100K 到 1M token 之间移动的方法与四个设置来源的优先级，只有环境变量接受纯整数（写成 500k 会被读成 500 并被钳到 100K）这个坑，以及 Not enough messages to compact. 与 Autocompact is thrashing 这两条消息的含义和恢复步骤。

你基于 OpenAI 把应用搭好，后来想试 Claude、比一比 Gemini——却因为每家提供商的 SDK、格式、错误处理各不相同而白白耗掉数小时。LLM 网关（AI 网关 / LLM 代理）是你塞在应用与各提供商之间的中转层：它对外暴露一个兼容 OpenAI 的 API 以触达所有模型，并接管那些横切性的杂活——回退、成本追踪、虚拟密钥、缓存、限流与可观测性。本指南讲清为什么需要它、网关到底是什么、三种类型（自托管代理 = LiteLLM / 托管 = OpenRouter / SDK = Vercel AI SDK）、如何在 LiteLLM、OpenRouter 和 Vercel AI SDK 之间取舍、只需换端点的最小配置代码，以及它的局限——一跳延迟、网关成为新的故障点、费用（OpenRouter 充值时收 5.5%）、功能损失与隐私。

Claude Code 沙箱在操作系统层面限制其中 shell 及子进程的文件和网络访问。了解 /sandbox 设置、写入位置、读取拒绝、允许域名，以及普通权限与自动许可。内置 Read/Edit/Write、MCP、钩子、排除命令和无隔离重试属于独立途径。它不保证防止所有破坏行为、允许范围内的传输或机密泄露；本文解释不同模式下未知主机的处理及例外设置。

能把 AWS 运维交给 AI 吗？2026 年你已经可以大量委派。AWS 自己推出了 Amazon Q Developer 和 Agent Toolkit for AWS（2026 年 5 月——40+ 个 agent skills + 托管的 AWS MCP Server + 插件），让 AI 从 IaC 生成延伸到资源操作。本文把“委派”拆成三个层级（① 代码/IaC 生成、② 以读取为主的运维/排查、③ 真正操作 AWS 的自主智能体），介绍主要工具（Amazon Q Developer、Agent Toolkit、AWS MCP Server、Terraform MCP、Bedrock AgentCore）——包括把 AWS CLI 交给 Claude Code 或 Codex、从 shell 运行“aws”的自带方案——讲清优点（IaC 更快、自动化定位、成本优化建议、知识民主化），再进入真正的重点即缺点（IAM 权限膨胀、过度授权成为失误/提示注入的爆炸半径放大器、比任务活得更久的权限、成本失控——并有 2025-26 年真实的生产 DB 删除事故），均基于 AWS 官方与安全厂商信息。关键转折在于：问题不是“能不能”，而是“如何委派才不会失控或账单爆炸”——而 AWS 自己把 IAM 护栏、CloudTrail 审计和沙箱内置进 Agent Toolkit，正勾勒出答案的形态。文末给出五条原则（IAM 最小权限、破坏性操作的人工审批、可观测性、JIT 短时效凭证、沙箱）及 FAQ。

把 AI 智能体接入实际工作时，第一道坎就是“到底用哪个框架来搭建”。本文站在开发者与技术选型者的视角，从编排方式（有向图/基于角色的 crew/对话型 GroupChat/交接/层级树/自主工具循环）、语言、学习曲线、可控性、生产成熟度、token 成本与适配用途，比较六大主流框架——LangGraph、CrewAI、AutoGen（已并入 2026 年 4 月 GA 的 Microsoft Agent Framework）、OpenAI Agents SDK、Google ADK 与 Claude Agent SDK。关键提醒：那个“最好试作”的框架（CrewAI）在生产环境里可能最贵——token 约为 3 倍（某基准测试中为 41k，而 LangGraph 为 18.5k），且非确定性，因此不适合金融与医疗。文中还说明 2026 年如何通过 MCP（工具）与 A2A（智能体之间）实现互操作，使不同框架的智能体如今能够协同工作、厂商锁定随之淡化。附带按用途的选型指南与 FAQ。

Claude Code 权限规则通过 settings.json 中的 allow、ask、deny 控制工具调用。了解设置优先级、命令与路径匹配及实用示例。本文还解释 Bash 的其他调用写法、任意脚本、Read/Edit 否定模式，以及 mod 对判定的改变，并区分这些规则与阻止所有途径读取机密文件或访问网络的保证。

Claude Code 中用 Shift+Tab 切换的 “Permission Mode”，决定了它在编辑文件或运行命令前多频繁地征求许可。本文讲解 Manual、Accept edits、Plan、Auto、Bypass permissions 与 dontAsk 六种模式的区别、切换方式，以及如何安全地使用它们。

Claude Code 模型名旁的 “Effort” 滑块决定 AI 每次回复投入多少思考与 token。本文解析 low–max 这 5 个 API 等级、为何 “Extra” 等于 xhigh 而最高档是 “Max”，以及 Ultracode 模式的设置方法与适用场景。

你大概以为LLM必须跑在云端，但小模型的文件只有几GB，普通笔记本也能跑。本地LLM就是把AI模型直接运行在自己的电脑上，而非云端。优点是隐私（输入不离开本机）、没有API费用、断网也能用；短板是不如顶级云端AI聪明，且需要一台还算给力的电脑。本篇初学者指南讲解：量化（Q4_K_M 约为 fp16 的三成，Llama 3.1 8B 从 16 GB 缩到 4.9 GB）、Ollama 标签列表中的实际下载大小表（截至2026年9月30日）、Ollama 与 LM Studio 官方的系统要求、Ollama 官方步骤（macOS 和 Linux 用 install.sh，Windows 用 install.ps1，然后 ollama run gemma4，再用 ollama ps 确认是否在 GPU 上）、带“:cloud”的模型不在本机运行的提醒、如何选模型（以 Llama 3.1、Gemma 4、Qwen3.8、DeepSeek-R1 为例），以及本地与云端如何分工。

环境搭建是每个编程初学者都会卡住的地方。2026 年，生成式 AI（Claude Code、Codex、Cursor）在例行基础设施工作上已经真正可用——本地环境搭建、Dockerfile 生成、Terraform 草稿、CI/CD 流水线。HashiCorp 于 2025 年发布了官方 Terraform MCP Server（2026 年 6 月正式全面可用），Anthropic 推出了 Agent Skills，让基础设施领域的专业知识可以按需加载。但“全权委托”是另一个问题：月底 3,000 美元的 AWS 账单、被误设为公网可访问的生产数据库、被提交到 GitHub 的 SSH 密钥——全盘交给 AI 时，这些都可能发生。本文划分出五个可以安全委托的领域、三个“先核验再信任”的风险区、四个必须由人负责的领域、一套适合初学者的四步安全工作流，以及最新的 2026 年工具（Claude Code、MCP、Agent Skills）——聚焦能力评估，而非职业影响。