用途：Safe Mode 是 Claude CLI 的基于风险的权限强制包装器，根据可配置的风险阈值限制 CLI 操作，权限块从插件的 SAFEGUARDS.md 文件中解析。
主要能力：将操作分为四个累积风险等级——safe（0，只读，如 search、list、get、view、status）、caution（1，可修改但易回滚，如 create、update、enable、disable）、warning（2，破坏性但可能恢复，如单项 delete）、danger（3，不可逆数据丢失，如批量删除、drop、purge、uninstall）。阈值逻辑为 risk_value <= threshold 进入 allow[]，否则进入 deny[]。
使用方式：命令为 claude-safe [OPTIONS] [-- CLAUDE_ARGS...]。常用选项包括 -d/--discover 从 ~/.claude/plugins/cache/ 自动发现插件，-l/--level 指定风险等级（默认 safe），-p/--plugins 指定冒号分隔的插件目录，-n/--dry-run 预览权限而不运行，-v/--verbose 输出调试信息，-h/--help 显示帮助。环境变量有 CLAUDE_SAFE_LEVEL、CLAUDE_SAFE_PLUGINS、CLAUDE_HOME。示例：claude-safe -d 仅允许只读；claude-safe -d -l caution 允许创建和更新；claude-safe -d -n -v 预览权限；claude-safe -d -l caution -- --model sonnet 透传参数。
权限块：在插件 SAFEGUARDS.md 中添加 YAML 权限块，包含 cli 名称与 operations 列表（pattern 与 risk）。搜索顺序为 {plugin}/skills/shared/docs/SAFEGUARDS.md、{plugin}/docs/SAFEGUARDS.md、{plugin}/.claude/SAFEGUARDS.md、{plugin}/SAFEGUARDS.md。模式使用简单通配符并转换为 Bash() 权限格式，如 splunk-as search * 转为 Bash(splunk-as search *)。
依赖：bash 4.0+、yq、jq；macOS 可执行 brew install yq jq。
适用场景：生产环境默认只读、开发模式允许创建更新、测试模式允许删除但不含批量、需要时开放全部操作。
限制：资料未提供收费、价格、平台支持范围及实际效果等信息。