常见误解：开了 auto mode 就等于不设防
@AlphaByPablo 在介绍 Claude Code 的 /auto-mode-setup 时专门补了一句：Auto Mode 不是「跳过所有权限」。它是由一个单独的分类器模型来审查操作，你写的显式 ask 规则依然有效。「少盯一点」不等于「没人监督」。
这句话和官方 Permission modes 文档 一致。文档写得很直白：在 auto mode 下，第二个模型（classifier）代替你审查操作；被它拒绝的命令会被拦下。
任何模式都不会自动批准的操作
官方文档有一节叫「Actions no mode auto-approves」，列出了包括 bypassPermissions 在内，任何模式都不会自动放行的情况，主要有：
- 被显式 ask 规则匹配到的工具调用——你写了
Bash(git push *)这类 ask 规则，auto mode 照样会停下来问你。 - 需要用户交互的工具，例如内置的 AskUserQuestion，以及标记了 requiresUserInteraction 的 MCP 工具。
- 针对关键路径（critical path）的 rm / rmdir，任何 allow 规则或 PreToolUse hook 返回 allow 都批准不了。
- 打开
blockReadsOutsideWorkingDirectories后，读取工作目录之外文件的命令。
另外，文档也写明：deny 规则在所有模式都生效，而 allow 规则在 bypassPermissions 下没有意义。
对账号和机器安全意味着什么
把 Claude Code 放在一台常开机器上无人值守时，最稳的做法不是「全关提示」，而是分层：
- 用 auto mode 减少日常确认；
- 把推送代码、改生产配置、动账单相关脚本这类高风险操作写成 ask 规则，让它们永远回到你手上；
- 把绝对不能碰的东西（例如读取密钥文件、外发到陌生域名）写成 deny 规则。
/auto-mode-setup：草稿要先看再存
Claude Code v2.1.304 的更新日志提到了 /auto-mode-setup。按官方 auto mode 配置文档，它会读取项目的 CLAUDE.md、README、配置文件、git remote、你已有的 autoMode 与 permissions.allow 设置，以及近期会话里执行过的命令所涉及的主机名和命令名（不读你的消息内容）；另有两项可选扫描（shell 历史首词、家目录下仓库的远端）。草稿只有在你接受后才会写入 ~/.claude/settings.json。
建议：逐条看它起草的环境条目，确认没有把不该信任的主机或存储桶写进去；可选扫描按需开启。
如果你想把 Claude Code 放在一台常开、整机独享的新加坡 Mac mini 上长期运行，可以了解 Zumac.Ai，咨询 Telegram @singatao。
