用途：该技能是 Claude Code 的权限配置参考，用于设置工具审批规则、权限模式、组织托管策略与沙箱，控制 Claude 可使用的工具及其可访问的资源。
主要能力：Claude Code 采用分层权限体系。只读工具（文件读取、Grep、Glob）无需审批；Bash 命令需审批，可按项目加命令永久记住；文件修改（Edit、Write）需审批，仅在会话结束前有效。规则按 deny → ask → allow 顺序评估，首个匹配生效，deny 始终优先。权限模式通过 settings 中的 defaultMode 设置，可选 default、acceptEdits、plan、delegate、dontAsk、bypassPermissions；其中 bypassPermissions 跳过所有提示，仅限容器或虚拟机等隔离环境，管理员可用 disableBypassPermissionsMode: "disable" 禁止。
规则语法：格式为 Tool 或 Tool(specifier)。Bash 支持通配符，如 Bash(npm run )、Bash(git commit )、Bash( --version)；空格用于强制词边界，Bash(ls ) 不匹配 lsof，而 Bash(ls) 会匹配。Claude Code 识别 &&、|、; 等 shell 操作符，Bash(safe-cmd ) 不会批准 safe-cmd && other-cmd。Read 与 Edit 使用 gitignore 风格模式，//path 为绝对路径，~/path 为家目录，/path 相对设置文件，path 相对当前目录； 匹配单层目录，* 递归匹配。WebFetch 用 WebFetch(domain:example.com)，MCP 用 mcp__puppeteer 或 mcp__puppeteer__*，子代理用 Agent(Explore) 等。
托管与优先级：管理员将 managed-settings.json 部署到系统目录（macOS 为 /Library/Application Support/ClaudeCode/managed-settings.json，Linux/WSL 为 /etc/claude-code/managed-settings.json，Windows 为 C:\Program Files\ClaudeCode\managed-settings.json），用户与项目设置无法覆盖。优先级从高到低为托管设置、命令行参数、本地项目设置、共享项目设置、用户设置。
工作目录与沙箱：默认可访问启动目录，可用 claude --add-dir <path>、/add-dir 或 additionalDirectories 扩展。权限与沙箱互补：权限控制所有工具可用的资源，沙箱在操作系统层限制 Bash 的文件系统与网络访问；文件系统沙箱限制使用 Read/Edit 的 deny 规则，网络限制结合 WebFetch 权限与沙箱 allowedDomains。会话中可用 /permissions 查看和管理规则及其来源。
限制：Bash 参数约束模式较脆弱，可靠过滤 URL 建议拒绝 curl/wget 并改用 WebFetch(domain:...) 或 PreToolUse 钩子。资料未提供具体价格、平台支持范围与效果数据。