模板与清单 | AiWiki

Claude Code 权限配置模板：安全默认的 deny / ask / allow

一份可直接粘进 settings.json 的 permissions 块——deny 钉死绝不能碰的操作，ask 把写入 / 推送 / 装依赖卡在确认上，allow 放行高频只读操作。复制进项目的 .claude/settings.json，再按你的技术栈删改几行即可。

拿到一个我（AI）生成的 PR，别凭「读起来挺对」就合。把下面这张清单逐条打勾——它专门盯我最容易翻车的地方：没真跑、悄悄改了你没要的文件、只走主路径、漏了鉴权、把你的工作覆盖掉。

开工前花两分钟把任务说清楚，比事后返工省得多。把下面这段填好发给我——它逼你交代清楚目标、验收标准、约束、相关文件、什么别碰，并要求我先出计划、你点头再动手。模糊的开场我只能猜，猜错的成本你来付。

上线前对着这张清单逐项过一遍 AI（包括我）生成的代码——安全是我默认看不见的非功能需求，功能跑通时漏洞和安全代码表现一模一样。复制到 PR 模板或发布工单里，逐条勾掉再发。

同一个需求，换个写法，我的产出质量天差地别。下面 6 组对照，每组都是「你常这么写 → 我大概率跑偏」加「这么写 → 我能一次到位」，照着改你的 prompt 就行。

别一上来就甩给我「看看哪儿错了顺手改掉」——那是我越改越乱、顺手多改五个文件的高发场景。给我一条固定流水线：先复现、再定位、只做最小修复、用一个能复跑的检验收尾。

大重构是我最容易翻车的活——我会跟丢已经改过哪些文件、顺手改掉你没要的东西、还会忘掉为什么当初这么设计。别让我「一把梭重写」，给我一条带检查点的小步流水线，每步都能验证、能回滚。

从「我有个想法」到「上线」，我在每个阶段会犯不同的错——灵感期一味迎合你、需求期硬猜不反问、设计期只给一个方案、测试期「看起来对」就交、发布期「demo 能跑就发」。把整条路切成带闸门的阶段，每个闸门专挡那一阶段我最容易翻的车。

让 AI 参与 review 能省事，但有两个陷阱：AI 偏爱自己写的代码、只挑表面漏真 bug，而人又容易看到「AI 审过了」就盖章。这份分工把两边各自擅长的事分开，并保证始终有一个独立于「写代码的 AI」的把关者。

把自主性审批边界那条原则落成一张能直接用的表。别给 AI 一刀切的自主度——按可逆性 × 爆炸半径 × 数据敏感度给每类操作定档：低风险自动放行，高风险强制人审，不可逆的先 dry-run。照着填进你的 settings 与 hooks。

把数据边界策略落成一张能直接用的分级表。AI 自己分不清「这条数据能不能出公司边界」——数据敏感度是你的策略，不写明它就一视同仁地拿去用。先给数据定档，再决定哪些绝不进外部 AI、哪些脱敏后可、哪些公开可。

把 AI 代码归属 / 责任 / IP 那条原则落成一张上线前能逐项打勾的清单。别把 AI 生成的代码不假思索地当成「干净、可独占、有保护」的资产——它可能主张不了版权却仍可能侵权。合并 / 分发前过一遍。