任务型实战
实战 6：给项目写一版最小权限策略
不用一上来配满所有权限，只要先写出一个能守住底线的最小权限策略，就已经比“全开”稳很多。
学完你会得到什么
- 先照着做一遍，再回头理解原理。
- 这篇实战更适合边看边操作，不适合只看不练。
开始前你最好知道
- 看完第 8 章
- 能辨认项目中的敏感目录和高风险操作
先看这些风险提醒
- 不要为了方便把敏感目录默认放开。
- 不要把“我自己会小心”当成安全策略。
做完怎么验证
- 你能列出允许、询问、拒绝三类边界的基本思路。
- 你已经识别出项目里最敏感的目录或文件。
- 你能解释为什么这套策略对当前项目来说是“够用”而不是“过宽”。
可视化路线
动手流程
先按这个顺序走一遍，再回头理解为什么这样做。
- 01第 1 步
找出敏感目录和高风险动作。
- 02第 2 步
划分允许、询问、拒绝三层。
- 03第 3 步
先从最小可用边界开始。
- 04第 4 步
用小任务验证策略是否过宽或过死。
场景
你准备开始在项目里长期使用 Claude Code，但还没有任何清晰的权限边界。越到后面接更多工具、做更多自动化，这个问题就越难补。
目标
先写出一版最小权限策略，让普通分析能顺畅进行，但高风险操作和敏感目录受到保护。
前置条件
先把项目里的三类内容找出来：普通文件、敏感文件、高风险操作。只有分层清楚，策略才写得出来。
分步操作
- 先列出绝对敏感的目录和文件。
- 再列出可以只读分析的普通区域。
- 对写入、删除、批量修改这类动作先设为询问。
- 对凭据、私钥、证书等内容默认拒绝。
- 用一两个小任务测试边界是否合适。
为什么先做最小版本
最小版本的好处是：你不用一上来就理解所有配置细节，也能先把最大的风险挡住。后面随着使用深入，再逐步放开必要能力。
风险提醒
不要把策略写成“以后再说”。安全边界越晚补，越容易和现有流程打架。
验证结果
当 Claude Code 能顺利做常规分析，但碰到高风险操作会停下来询问，或者明确避开敏感区域时，这套最小策略就已经起作用了。
失败时先查什么
先查你是不是把普通区域也限制得太死；再查敏感目录有没有漏掉；最后查是否把真正高风险的动作仍然放得过宽。
学习进度
做完这一章了吗？
你可以把本章标记为已完成，首页和课程列表会记录你的学习进度。