sandbox.filesystem.denyWrite

settings.json型string[]記述場所どの設定ファイルでも可

サブプロセスに対して書き込みアクセスを明示的に拒否するパスを指定し、allowWrite設定よりも優先されます。

記述例

{
  "sandbox": {
    "filesystem": {
      "denyWrite": ["/etc", "/usr/local/bin"]
    }
  }
}

使い方・用途

  • /etc や /usr/local/bin など、システムの重要なディレクトリへの意図しない書き込みを確実にブロックし、サンドボックスの安全性を強化したい場合に使用します。
英語原文

Paths where subprocesses are explicitly denied write access. Takes precedence over allowWrite. See https://code.claude.com/docs/en/sandboxing#filesystem-isolation

関連ドキュメント

関連する変更履歴

v2.1.309(1件)

macOS サンドボックスの denyWrite glob パターンが、パターンのフォルダーにシンボリックリンク経由で到達した場合にパスの実体に適用されない問題を修正した
英語原文を表示
Fixed macOS sandbox denyWrite glob patterns not applying at a path's real location when the pattern's folder is reached through a symlink

関連ドキュメント

v2.1.223(1件)

Linux 環境において、書き込み制限ポリシー sandbox.filesystem.denyWrite が現在の作業ディレクトリに適用されていると、サンドボックス化されたコマンドの起動に失敗する問題を修正しました。
英語原文を表示
Fixed sandboxed commands failing to start on Linux when sandbox.filesystem.denyWrite covers the working directory