Если permission mode задаёт общий ритм, то permission rules уточняют отдельные инструменты, и именно они превращают доверие из грубого переключателя в точную политику. Правила имеют форму Tool или Tool(specifier) и живут в трёх массивах: allow, ask и deny. Порядок их разрешения строгий и его надо знать: совпавший deny имеет приоритет, затем учитывается ask, и только потом allow. Более широкое разрешение не отменяет более строгое правило из другого scope.

Это правило приоритета - основа безопасности всей схемы. Пользователь не может снять репозиторный или managed запрет, просто дописав широкий allow: deny из любого scope переживёт любое разрешение. Rules из разных scopes объединяются, а не заменяют друг друга, и для deny это особенно важно - обязательный запрет на чтение секретов или на rm -rf нельзя обойти локальной настройкой. Политика складывается из всех слоёв, а самый строгий выигрывает.

Для Bash решающее значение имеет граница команды. Трейлинг-wildcard задают суффиксом : или равнозначной формой через пробел: Bash(npm run test:) и Bash(npm run test ) совпадают одинаково и обе держат границу слова - правило покроет эту команду с аргументами, но не произвольную, чьё имя лишь начинается так же (в отличие от Bash(ls) без границы, который поймает и lsof). Claude Code разбирает составные shell-команды, а сопоставлять можно и входные параметры через Tool(param:value), а не только текст команды.

Полезно один раз увидеть правила разной ширины рядом, чтобы чувствовать разницу между точным и чрезмерным. Ниже - от одной конкретной команды до всего Bash, который почти всегда избыточен. К этой шкале возвращаются, составляя allowlist: цель - разрешить именно нужное семейство команд (build, lint, test), а не открыть весь инструмент, потому что "так проще". Ширина правила - это ширина доверия.

У путей в Read и Edit своя семантика, и её легко спутать. Двойной слэш означает абсолютный путь от корня файловой системы, тильда - относительно home, точка-слэш или путь без префикса - относительно текущего каталога, а отсутствие specifier означает весь инструмент. Отдельно стоит одиночный слэш: он отсчитывается не от корня проекта, а от источника самих настроек. В project-настройках /src это действительно корень репозитория, но в user-настройках Read(/secrets/**) закроет ~/.claude/secrets, а вовсе не папку secrets в проекте; local-настройки и правила из CLI отсчитывают от каталога запуска. Чтобы одно правило работало во всех проектах, нужен двойной слэш или тильда. Важнейшая тонкость: это не та нотация, что в sandbox.filesystem, где /tmp - обычный абсолютный путь. Смешение двух синтаксисов - частая причина политики, которая выглядит строгой, но не совпадает.