把 Claude Code 装好、配好也写好了 CLAUDE.md真到了让它干活这一步大多数人会被同一个问题卡住给一个天气 App 加“未来七天预报”我一边想放手让它去改一边又怕它哪一步删错了文件或者顺手把我没让它碰的网络层也一并重构了。更现实的是官方额度和多把 Key 的切换本身就让人手忙脚乱折腾半天还没开始写功能。TaoToken 把这条模型通道收拢成统一 API先去 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_end 创建一把自己的 Key再把 Base URL 填成 https://taotoken.net/apiClaude Code 就能稳定跑通计划模式与权限规则。剩下才是真正要拆的两件事动手前能不能先看它打算怎么干动手当中怎么把“哪些能干、哪些得先问我、哪些绝对不许”写成规则这篇文章会沿着这两条线走。先花一小段把 TaoToken 的 Key 和 Base URL 落到 Claude Code 的配置文件里因为没这条路后面所有规则都跑不起来然后进入计划模式Plan mode的完整操作最后是 deny/ask/allow 权限系统里那些最容易写错、差一个字符就失效的细节。文中配置以官方文档为准模型 ID 以 TaoToken 模型广场当下列表为准。1. 环境变量先说清settings.json 里把 Claude Code 指向 TaoToken1.1 三行配置填完就能认路Claude Code 默认连的是 Anthropic 官方接口要让请求走 TaoToken只需要在~/.claude/settings.json全局或项目里的.claude/settings.json仅当前项目中加一段env。用编辑器打开文件填入下面内容{ env: { ANTHROPIC_BASE_URL: https://taotoken.net/api, ANTHROPIC_AUTH_TOKEN: YOUR_API_KEY, ANTHROPIC_MODEL: 填入 TaoToken 模型广场列表中的 model id } }注意三点。第一ANTHROPIC_BASE_URL必须填https://taotoken.net/api末尾不要加/v1也不要带任何查询参数。第二YOUR_API_KEY需要替换成自己创建的真实 Key这个 Key 从 TaoToken 注册后在控制台的 API Keys 页面创建。第三模型 ID 不要我在这里给一个去模型广场看当下列表里有什么照抄过来即可不同时期可用模型会有变化。这里最容易混的一处是官网落地页和工具里填的地址是两回事。注册、创建 Key、看模型列表、看用量去https://taotoken.net/?utm_sourcetaotoken_aicg_blog_end而填进ANTHROPIC_BASE_URL的只有https://taotoken.net/api。把落地页地址填进去Claude Code 会报连接错误把 API 地址当官网去注册也会一头雾水。1.2 报错先对号入座配完后在项目目录启动claude如果一切正常它会正常进入对话。若起不来常见三种报错先对照再排查现象大概率原因401 UnauthorizedKey 复制错了或 Key 前后多了空格回控制台重新复制404 Not FoundBase URL 多了/v1或末尾多了斜杠改成https://taotoken.net/apimodel not found / 模型不存在ANTHROPIC_MODEL填的 ID 不在模型广场当前列表里去模型广场核对TaoToken 在这里只负责模型通道不参与 Claude Code 的权限判定逻辑。也就是说你在后面配的 deny/ask/allow、计划模式行为和连官方时完全一致该弹窗弹窗该拦截拦截。2. 计划模式先出方案不碰你的代码2.1 进入计划模式的三种方式计划模式做的事情很克制读文件、跑只读命令去摸清代码库最后给出一份完整改动计划但不会编辑任何源文件。这正好对症“不敢放手”——碰上大改动或者一个你自己都不熟的代码库先让它把方案摆出来确认思路再放它真改。进入方式有三种按场景选# ① 会话里按 ShiftTab 循环切换直到状态栏显示 plan # ② 某条提问只想先走计划在消息前加 /plan # ③ 启动时就进入计划模式 claude --permission-mode plan/plan适合单次请求比如“帮天气 App 加一个未来七天预报先别动手给我方案”。--permission-mode plan适合整个项目默认先出方案省得每次都敲。2.2 方案出来后的五个去向计划就绪时Claude 会列出几个选项让你决定下一步批准方案切到 auto 模式让它自己继续跑批准方案切到 acceptEdits自动改文件但跑命令仍要问批准方案但每个改动逐个手动确认不批准带着你的反馈继续打磨方案用 Ultraplan 在浏览器里进一步细化进阶用法。大多数人会漏掉的是第 4 个方案不满意不用推倒重来把意见直接丢回去让它接着改。只要批准了方案就等于退出计划模式、切到你选的那个权限档它才开始动手。只想退出计划模式、不批准任何东西再按一次 ShiftTab 即可。两个顺手操作也提一下。方案太长、想自己调两笔按 CtrlG 能在默认编辑器里打开这份方案改完再让它执行。如果某个项目希望一进去就是计划模式在.claude/settings.json里写一行就行{ permissions: { defaultMode: plan } }回到天气 App 那个例子。让 Claude 先/plan后它给的方案里明确写到要动WeatherApi.java、ForecastResponse.java两个文件新增v7/weather/7d接口调用并且没有碰 UI 层。对着现有代码确认接口路径没错、改动范围没越界才切到 acceptEdits 放它动手。先扫一眼方案再放权比改完再回头 review 省事得多。3. 放权的地基deny、ask、allow 的裁决顺序3.1 三条规则一套顺序计划模式管动手前权限系统管动手当中。Claude Code 的权限规则只有三类随时可以用/permissions命令可视化查看它会列出每条规则以及规则来自哪个 settings 文件allow免确认直接用ask每次用都问一下deny禁止根本不给用。关键在裁决顺序官方原话翻译过来是三句按 deny、ask、allow 的顺序依次查第一个命中的规则决定结果规则写得再具体也不改变这个顺序。第三句最容易栽跟头。不少人以为“更具体的规则优先级更高”实际上不是。看官方那个例子写了一条宽泛的deny Bash(aws *)又写了条具体的allow Bash(aws s3 ls)心想“除了列 S3别的 aws 命令都禁”结果aws s3 ls也被禁了因为 deny 先查、先命中。deny 规则里开不出“白名单例外”。ask 也一样命中了 ask 就一定弹窗哪怕后面有更具体的 allow 也拦不住。3.2 deny 跨文件也生效这个顺序跨文件同样成立。配置可以分散在企业托管策略、项目.claude/settings.json、用户级配置文件等多层但 deny 只要在任意一层出现其他层再允许也救不回来。所以想开例外靠的不是补一条更具体的 allow而是一开始就别用太宽的 deny 把它拦死。举个例子项目里需要执行git push origin feature/*但不想让 AI 推 main 分支。正确做法是 deny 掉推送 main 的具体模式{ permissions: { deny: [Bash(git push * main)], allow: [Bash(git push origin *)] } }注意不要基于“先 allow 后 deny 所以 allow 优先”这种直觉去配顺序是 deny 先查所以Bash(git push * main)仍然会把推送 main 的行为拦住但这正是你想要的结果。4. 规则写法里差一点就失效的细节4.1 裸工具名和带括号管的是两件事规则的格式分两种Tool或Tool(具体内容)。不带括号的裸工具名匹配工具的所有用法Bash匹配所有命令Read匹配所有读取WebFetch匹配所有联网抓取。带括号则是加 specifier 做精细控制Bash(npm run build)只匹配这一条命令Read(./.env)匹配当前目录的.env。这里有个容易被忽略的差异尤其拿来做 deny 时要分清裸名 deny比如Bash工具会从 Claude 的上下文里整个移除它根本看不到有一个 Bash 工具可用带范围的 deny比如Bash(rm *)工具还在只是某些调用被拦下。所以“我不想让它跑任何命令”和“我只想禁掉 rm”是两种完全不同的写法前者用裸名Bash后者才用Bash(rm *)。混用了行为会和预期差很多。4.2 一个空格就是一条边界Bash 规则匹配里空格决定边界Bash(ls *)中*前面有空格这个空格强制了“词边界”前缀后面必须跟空格或到此为止所以它匹配ls -la但不匹配lsofBash(ls*)没有空格也就没有边界lsof、lsblk这些ls开头的全会被圈进来。就一个空格的差别放行范围差出十万八千里。还有个等价写法:*后缀等同于“空格加星号”Bash(ls:*)和Bash(ls *)一个意思。但注意:*只有在结尾才被识别写成Bash(git:* push)中间的冒号会被当成普通字符什么 git 命令都匹配不到。4.3 复合命令逐段过关包装器先被扒掉关于“写了Bash(npm test)它跑npm test; rm -rf .怎么办”这种老担心现在的行为已经变了。Claude Code 能识别 shell 操作符包括、||、;、|、|、和换行。碰上复合命令它会拆成一段段子命令每一段都得各自命中规则整条才放行。所以npm test rm -rf .不会因为npm test被允许就整条放过那个rm还要单独过一遍权限。你对一条复合命令点“Yes, dont ask again”存下来的是每个需要批准的子命令各一条规则单次最多存 5 条。另有一个能解释怪现象的细节匹配之前Claude Code 会先剥掉一组固定的进程包装器包括timeout、time、nice、nohup、stdbuf还有不带参数的xargs剥完再拿里面的真实命令去匹配。所以只写了Bash(npm test *)timeout 30 npm test也会直接过。但要当心不在剥离名单上的“运行器”npx、docker exec、devbox run、direnv exec这些不剥。它们会把后面一整串都当命令执行于是Bash(devbox run *)基本等于放行了devbox run rm -rf .这类操作。要用就得写具体比如Bash(devbox run npm test)。4.4 路径锚点/ 是项目根// 才是绝对路径管“能读、能改哪些文件”的 Read、Edit 规则路径写法遵循 gitignore 规范一共四种锚点写法含义实际指向//path绝对路径从文件系统根//Users/alice/secrets/**指向/Users/alice/secrets/**~/path家目录起算~/Documents/*.pdf指家目录下的 Documents/path项目根相对/src/**/*.ts指项目根/src/**/*.tspath或./path当前目录相对*.env指当前目录下的.env陷阱在第三行。以单个/开头指的是“项目根目录”不是系统绝对路径。想写真正的绝对路径必须用两个斜杠//。太多人在这个地方写错本想 deny 掉系统里某个绝对路径结果写成单斜杠规则悄悄指到了项目里一个不存在的路径等于白写。裸文件名按 gitignore 在任意层级匹配Read(.env)等价于Read(**/.env)当前目录连同所有子目录下的.env都算Read(//**/.env)才是匹配整个文件系统里的所有.env。另外Read/Edit 的 deny 也会管住 Claude 在 Bash 里识别出来的cat、head、sed这类读文件命令但它管不了一个 Python 脚本自己open()文件那种 OS 级别的封堵需要靠沙箱。5. 六种权限模式与保护路径放权的边界在哪5.1 六种模式一句话概览权限模式不只默认那几档官方的完整列表是六种模式不用问就能做的适合default只读起步、敏感工作acceptEdits读 改文件 常见文件系统命令mkdir/touch/mv/cp/rm/sed限工作目录内边改边审plan只读动手前先探索、出方案auto几乎全部有后台分类器做安全审查长任务、减少打断dontAsk仅预先 allow 的其余自动拒不弹窗CI / 锁定环境bypassPermissions全部仅隔离容器 / VMShiftTab 默认只在default、acceptEdits、plan三档之间循环。auto、dontAsk、bypassPermissions不在默认循环里auto要账号满足条件才会出现bypass得用--dangerously-skip-permissions或--permission-mode bypassPermissions启动后才进循环dontAsk只能靠启动参数指定。auto模式值得了解它放行大部分操作但后台有个独立的分类器模型在审查挡住“下载并执行代码、把敏感数据发往外部、强推 main”这类危险动作。不过它只是研究预览能减少打断不等于安全别拿它当 review 的替代品。5.2 保护路径是最后一道兜底除了bypassPermissions对一批关键路径的写入永远不会被自动批准连 allow 规则都没法预先放行安全检查跑在 allow 之前。这批路径包括.git、.claude、.vscode、各种 shell 配置文件.zshrc、.bashrc、.envrc还有gradle-wrapper.properties、maven-wrapper.properties。这意味着就算你开了acceptEditsClaude 也不会擅自帮你改 wrapper 配置而是停下来问你。这套兜底正是“放权但不至于失控”的最后一道防线。日常用 ShiftTab 那三档就足够配置保护路径上的文件不会被偷偷改掉。6. 三段可直接抄的 settings.json 配置6.1 日常提速放行常用守住危险把前面讲到的机制落到~/.claude/settings.json下面这段可直接抄包含 TaoToken 的接入和一组实用的权限规则{ env: { ANTHROPIC_BASE_URL: https://taotoken.net/api, ANTHROPIC_AUTH_TOKEN: YOUR_API_KEY, ANTHROPIC_MODEL: 填入 TaoToken 模型广场列表中的 model id }, permissions: { allow: [ Bash(npm run *), Bash(git commit *), Bash(git push origin *) ], deny: [ Bash(git push * main), Read(.env), Read(.env.*), Read(./secrets/**) ] } }npm run、git commit免确认推 main 被 deny 拦下.env和secrets目录对 Claude 直接隐身。注意别想着在 allow 里加一条git push * main来开例外deny 先查这个例外开不出来。6.2 不熟的项目默认先出方案如果是刚接手一个项目或者代码库很大、自己心里没底可以在项目里的.claude/settings.json单独指定{ permissions: { defaultMode: plan } }这样一进项目就是计划模式任何提问都先给方案不直接动文件。这里不需要重复写 env全局那份会继承。6.3 用域名白名单替代 curl更靠谱想管住 AI 联网直接限制curl的参数容易漏。官方列过绕过的路子把-X GET放到 URL 前面、换用https、用短链接跳转、用变量URL... curl $URL甚至多打一个空格规则都可能失效。更稳的做法是 deny 命令行联网工具改用WebFetch(domain:...)白名单{ permissions: { deny: [Bash(curl *), Bash(wget *)], allow: [WebFetch(domain:docs.example.com), WebFetch(domain:*.mycompany.com)] } }allow 放高频的、deny 守底线、敏感文件让它看不见、联网走域名白名单。这套组合下来比全程点确认省心比全自动安全。配置保存后建议先在 TaoToken 模型对话 里用同一把 Key 发一条测试消息确认模型 ID 和 Base URL 没填错再回到 Claude Code 里验证/plan能正常出方案。7. 两条边界规则是硬边界不是叮嘱7.1 权限规则是 Claude Code 在执行不是模型在执行在 CLAUDE.md 或者提示词里写“不要碰数据库”那只影响模型想不想去碰真正决定允不允许它碰的是权限规则、权限模式和 PreToolUse hook。想硬边界就写 deny 规则别指望一句叮嘱。这两者的差别在于叮嘱是对模型的软约束模型可能因为理解偏差而越界deny 是工具层面的硬拦截还没到模型执行那一步就被挡住了。7.2 靠约束命令参数的规则天生脆弱第七节那个 curl 的例子就是典型。真要封网络或文件访问靠域名白名单、PreToolUse hook或者 OS 级的 sandbox。权限规则挡得住“Claude 主动想去做的事”挡不住一个它跑起来的脚本在底层自己干的事。拿 Bash 参数匹配当安全墙等于用一个有洞的筛子守水闸。把这条边界记牢权限是“你说了算”的硬规则不是“叮嘱它”的软约束。回到开头那个纠结全程确认太烦全自动又不放心。这篇文章给的其实是同一把钥匙的两面。动手前用计划模式先看清它要干什么动手中用权限规则把“你能干、你先问、你绝对不能”固定下来。这两件事都到位你既不用一步步盯着点“允许”也不用把方向盘整个交出去。现在可以打开 Coding Plan 看看长期写代码的套餐是否够用Key 的余量和调用记录在 控制台 API Keys 里对一下。环境变量的完整对照用法也有一份 Claude Code 接入文档 可以参考。规则写准了手才放得安心。