权限模式与规则

选一种权限模式

切换方式：

• 输入框里按 Shift+Tab 循环切换，输入框边框颜色跟着变，底部状态栏最左边显示当前模式；
• /mode plan 直接指定；
• 启动时 heng-agent --permission-mode accept-edits；
• 想每次启动都是某个模式，在配置里写 settings.permission_mode（/config set settings.permission_mode plan）。命令行参数优先。

大改动先用计划模式

先按 Shift+Tab 切到计划模式（或 /mode plan），再说任务。它只读代码，想清楚后交出计划（改哪些文件、怎么改、怎么验证），完整显示给你选：

1 2

批准后它在同一轮里接着按计划做，不用再说一遍。在编辑器里（ACP）同样弹这三个选项，模式下拉框跟着变。

在确认框里放行

需要确认时弹出确认框（改文件时带红绿对比），用 ↑↓ 选或直接按字母（中文输入法开着时字母会被输入法截走，用 ↑↓ 加 Enter）：

1 2

写成持久规则

/permissions 查看当前规则，也能直接增删：

/permissions allow bash(npm test)
/permissions deny bash(git push*)
/permissions remove bash(npm test)

规则写法是 工具名 或 工具名(匹配内容)，可以用 * 通配：

• 跑命令比的是命令本身：bash(git status*)；
• 读写文件比的是路径：write_file(src/*)；
• 读网页比的是网址：web_fetch(https://docs.python.org/*)；
• MCP 工具按名字：mcp__calc__*；只写工具名就是这个工具的所有调用。

规则存在配置文件的 permissions 段：

{ "permissions": { "allow": ["bash(npm test)"], "deny": ["bash(git push*)"] } }

记住几条硬限制

• 拒绝规则优先于一切，auto 模式下也拒绝；plan 的只读约束也盖过允许规则。
• 组合命令不吃允许规则：命令里有 &&、;、|、重定向、$(...) 等就照常询问，免得 bash(git status*) 放过 git status && rm -rf …。拒绝规则则对组合命令逐段检查，cd x && 危险命令 也拦得住。
• 文件路径换写法也拦得住：拒绝 .env，./.env、E:\项目\.env 同样被拒。
• 项目配置只能加拒绝规则：别人的仓库没法给你放开命令。
• 读网页（web_fetch）和 MCP 外部工具除 auto 外都会先问，网址完整显示——模型可能把代码内容拼进网址带出去。
• 项目里已有的 Claude Code 权限规则（.claude/settings.json 等）会自动翻译过来，但项目里的只采用拒绝规则；它的 defaultMode 不跟，权限模式由 heng-agent 自己定。

脚本模式（-p）里怎么放行

heng-agent -p "任务" 执行完一个任务就退出。没人可问，需要确认的操作默认都拒绝。要放行：

• --allowed-tools：逗号分隔，写法同 /permissions；--disallowed-tools 额外禁止；
• 或者用 --permission-mode accept-edits / auto。

$ heng-agent -p "把 cart.py 的运费改成 15 元" --allowed-tools "edit_file,bash(python -m pytest*)"