Claude Code 无人值守过夜跑：调研备忘

真源：/home/box/archives/org/2026-09-17-claude-code-unattended.md · 抓取日 2026-09-17 · 正文由 scripts/sync_reports.py 从 md sync，勿手改本页 SYNC 区当真源

• 调研日（Asia/Shanghai）：2026-09-17
• 口径：只记官方 docs / changelog 里出现过的 flag 与 JSON key；没找到写「不知道」，不发明 workaround。
• Grok CLI 一次性 live pass：~/.grok/bin/grok --no-auto-update --reasoning-effort xhigh -m grok-4.6 --always-approve，exit 0（约 465s，2026-09-17 00:32 CST）。其后主证据以官方页为准。
• 舰队约束（非 Claude 官方）：不 merge PR，除非用户明确说 merge；prod deploy 与花钱必须人；repo 代码在 CA 配额充足时优先 Cursor Cloud Agent。

Sources (path/url + date)

官方（优先）

次级（已标注）

1 Permission switches (exact flags/keys + official quotes)

官方 没有 名叫 YOLO / --yolo 的 CLI flag 或 settings key。官方 skip-all 是 --dangerously-skip-permissions 与 bypassPermissions。What's New W13（2026-03-23–27）把 auto mode 写成 “the middle ground between approving every file write and running with --dangerously-skip-permissions”。GitHub #34467 是社区请求把 --yolo 做成 alias（次级）。

1.1 CLI flags（CLI reference，抓取 2026-09-17）

官方推荐的无人值守容器形（permission-modes Common setups）：

claude -p "<prompt>" --dangerously-skip-permissions

隔离要求原文：“Required: a container, VM, or the sandbox runtime; on Linux and macOS, run it as a non-root user”。同一段：“In this -p run, the few calls that would still prompt are denied instead”。

CI 精确 allowlist 形：

claude -p "run the test suite" --permission-mode dontAsk --allowedTools "Bash(npm test)" "Read"

Hands-off（仍有 classifier）形：

claude --permission-mode auto
# 或 -p：
claude -p "fix all lint errors" --permission-mode auto
# 无人回答权限时（v2.1.259+）：
claude -p "Update the dependency pins and run the tests" --permission-mode auto --permission-prompts none

更少 prompt、不要 classifier 时：Manual + sandbox auto-allow（claude --permission-mode default，然后 /sandbox 选 auto-allow，或 sandbox.enabled: true；sandbox.autoAllowBashIfSandboxed 默认 true）。

1.2 settings.json keys（settings-reference，抓取 2026-09-17）

没有 顶层 key 叫 permissionMode。正确嵌套是 permissions.defaultMode。

{
  "permissions": {
    "allow": ["Bash(npm run *)", "Bash(git commit *)"],
    "ask": ["Bash(git push *)"],
    "deny": ["Read(./.env)", "Read(./.env.*)", "Read(./secrets/**)", "Bash(curl *)"],
    "additionalDirectories": ["../docs/"],
    "blockReadsOutsideWorkingDirectories": true,
    "defaultMode": "auto",
    "disableBypassPermissionsMode": "disable"
  },
  "disableAutoMode": "disable",
  "skipDangerousModePermissionPrompt": true,
  "skipAutoPermissionPrompt": true,
  "sandbox": {
    "enabled": true,
    "autoAllowBashIfSandboxed": true
  }
}

规则求值原文（permissions）：“Rules are evaluated in order: deny, then ask, then allow. The first match in that order determines the outcome, and rule specificity doesn't change the order.”

allow 对 bypass 无效 原文（permission-modes）：“Allow rules have no effect in bypassPermissions.” 所以 --allowedTools 约束不了 bypass；要拦工具用 deny / --disallowedTools。

1.3 Permission modes 对照（permission-modes，抓取 2026-09-17）

Pro/Max/Team 交互会话内置起点：auto（W32，Starting August 14, 2026；CLI 需 v2.1.228+ macOS/Linux/WSL，Windows v2.1.233+）。**claude -p / Agent SDK 内置仍是 default（Manual）**，所以脚本必须显式传 --permission-mode。

交互切 mode：CLI Shift+Tab。dontAsk 不进 cycle，只能 --permission-mode dontAsk。bypassPermissions 只有启动时用了 bypass 相关 flag / user defaultMode 才进 cycle。

任何 mode 都不会 auto-approve 的动作（含 bypass）：explicit ask 规则；组织设为 ask 的 connector；AskUserQuestion 与 requiresUserInteraction MCP；针对 critical path 的 rm/rmdir（无 allow / PreToolUse "allow" 能批）；跨 session messaging 保护；blockReadsOutsideWorkingDirectories 打开时的目录外读。

Protected paths（.git、.claude、.bashrc、.mcp.json 等）除 bypass（及部分 plan+bypass 交互）外永不 auto-approve。Critical path rm 在 bypass 下仍会 问人。

2 Headless / print / continue / notify

2.1 非交互 / print

官方叫 print mode，flag 是 -p / --print（headless + CLI reference，抓取 2026-09-17）：

claude -p "Find and fix the bug in auth.py" --allowedTools "Read,Edit,Bash"
claude -p "Summarize this project" --output-format json
claude -p "Explain recursion" --output-format stream-json --verbose --include-partial-messages

2.2 Continue / resume（sessions + CLI，抓取 2026-09-17）

Resume 权限 mode：终端 --continue/--resume <id> 会恢复当时 mode，但 **ended in bypassPermissions 或 plan 时不恢复 bypass/plan，要再传 flag。claude -p --resume 按新的 -p 起点（通常 Manual）**，除非同时满足：带 --permission-prompt-tool、不传 --permission-mode/--dangerously-skip-permissions、不 fork、不是 channels——才会在 plan 里 resume（v2.1.246+）。

过夜续跑官方示例（headless）：

claude -p "Review this codebase for performance issues"
claude -p "Now focus on the database queries" --continue
session_id=$(claude -p "Start a review" --output-format json | jq -r '.session_id')
claude -p "Continue that review" --resume "$session_id"

/goal 可在 -p 里一次跑到条件满足（goal 页，抓取 2026-09-17）：

claude -p "/goal CHANGELOG.md has an entry for every PR merged this week"

/goal 不改 permission mode。无人值守要同时开 auto。Goal 在认证失败 / 余额耗尽 / 上下文溢出 / 模型不可用时会清掉。

2.3 “做完再报我”——官方有什么

没有 名叫 “report when fully done” 的单一官方开关。可组合：

官方 没有 内置 Slack/email/webhook “任务全部完成再推一次” 的产品开关。要出站通知：自己写 Stop/Notification/http hook，或用 -p 的 exit + 脚本。

3 Overnight pipeline (local vs CI vs Cloud Agent) + human gates

3.1 三条官方跑道 + 一条舰队跑道

Routines vs Desktop vs /loop 官方表（desktop-scheduled-tasks）：Cloud 最短间隔 1 hour；Desktop//loop 1 minute；Cloud 不需机器开机；Desktop 要开机且 app 开着。

3.2 推荐过夜形状（官方能力 + 舰队门）

目标 = 早上有可审 PR / 云 session 产物，不是线上已发。

1. Repo 代码、CA 配额够：用 Cursor Cloud Agent（舰队，非 Claude 官方）。人早上审 diff，不 merge。
2. **要 Claude 云、笔记本可睡：Routines 或 claude --cloud "…"**（code.claude.com cloud + routines，抓取 2026-09-17）。prompt 写死成功标准（测试绿、开 draft PR、不要 merge、不要 prod）。环境用 Trusted network，去掉不需要的 connectors（“Claude can use every tool from an included connector, including writes, without asking”）。
3. **必须摸本机文件：Desktop scheduled task 或本机 claude -p + auto + sandbox**。合盖会 skip。不要用 bypass 除非独立 VM。
4. **CI 重复活（lint/review/日报告）：GitHub Actions + dontAsk + --allowedTools 精确名单**。prompt 模式结果默认在 workflow log，不自动评论。

本机 -p 过夜最小形（官方拼装，非发明 flag）：

claude -p --bare --permission-mode auto --permission-prompts none \
  --allowedTools "Read,Edit,Bash(npm test *),Bash(git status *),Bash(git diff *),Bash(git commit *),Bash(git push *)" \
  --max-budget-usd 20 \
  "/goal tests pass and a draft PR is open; do not merge; do not deploy"

--permission-prompts none 需 v2.1.259+。auto 在 -p 必须显式传。classifier 会拦 merge 无人批的 PR、prod deploy、force push 等（见 §4）。

无人值守韧性（env-vars，抓取 2026-09-17）：CLAUDE_CODE_RETRY_WATCHDOG=1（官方写明 “unattended sessions such as eval harnesses, CI jobs, or remote workers”）；autoContinueAtUsageLimit（usage limit 重置后续跑）。

3.3 人必须守的门（官方 + 舰队）

官方 没有 “跑完自动 merge 并上 prod” 的推荐路径。W13 PR auto-fix 是修 CI / nits 直到绿，不是 merge。

4 Risks / official warnings

4.1 bypass / --dangerously-skip-permissions

permission-modes（抓取 2026-09-17）：

“bypassPermissions mode disables permission prompts and safety checks so tool calls execute immediately, including writes to protected paths.”

“Only use this mode in isolated environments like containers, VMs, or dev containers without internet access, where Claude Code cannot damage your host system.”

“bypassPermissions offers no protection against prompt injection or unintended actions. For background safety checks with far fewer permission prompts, use auto mode instead.”

Linux/macOS 拒绝 root/sudo，原文错误串：

--dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons

首次交互会责任对话框；decline 则退出。Cloud 静默忽略仓库里的 defaultMode: "bypassPermissions" / "dontAsk"。

permissions 页：bypass 仍跳过对 .git / .claude 等保护路径的提示。

4.2 auto mode 不是安全保证

permission-modes：

“Auto mode reduces permission prompts but does not guarantee safety. Use it for tasks where you trust the general direction, not as a replacement for review on sensitive operations.”

W13（2026-03-23–27）：auto 是 skip-permissions 与逐条批准的中间态。

Classifier 默认拦（节选，permission-modes）：curl | bash；把敏感数据送到外部；prod deploy / migrations；云存储大规模删除；IAM/repo 权限；force push；无人批准就 merge PR；改 CI 去跑 secret；terraform destroy；把内部包安装绕到公网 registry；启动另一个 --dangerously-skip-permissions agent。默认允许：工作目录本地文件操作；按 lockfile 装依赖；push 当前仓库任意分支（含 default，v2.1.211+；内容仍受其它规则查）。

-p 无 --permission-prompt-tool 时，classifier 连挡 3 次或累计 20 次：动作不跑，进程不退出（“Claude Code doesn't stop the run”）。

4.3 误删 / 出站 / 供应链

security 页（抓取 2026-09-17）责任句：

“You're responsible for reviewing proposed code and commands for safety before approval.”

5 macOS + China proxy

Clash 端口 7897 / 7879：Claude 官方文档未出现。 舰队记忆不是 Anthropic 文档。下面只记官方网络配置。

network-config + env-vars（抓取 2026-09-17）：

Sandbox 相关（settings-reference）：sandbox.network.httpProxyPort、socksProxyPort；macOS MITM 可能要 sandbox.enableWeakerNetworkIsolation（官方标明降低安全性）。Go 工具 TLS 失败见该页。

Verdict buckets: 可立刻用 / 有条件 / 不建议

可立刻用（官方文档完整、可今晚配）

• 交互少点：Pro/Max/Team 已默认 auto（2026-08-14 起）；或 Shift+Tab。用户设置：~/.claude/settings.json → "permissions": {"defaultMode": "auto"}（不要写进 project settings）。
• 精确放行：permissions.allow / --allowedTools "Bash(npm test *)" 等；deny .env。
• 本机少 prompt 且要隔离：sandbox.enabled: true（macOS 官方支持），保留 deny 与 ask: ["Bash(git push *)"]。
• 脚本一次性任务：claude -p … --bare --permission-mode auto --permission-prompts none（v2.1.259+）或 dontAsk + 短 allowlist。
• 做完看结果：-p --output-format json + 退出码；macOS Notification hook + osascript；preferredNotifChannel: "terminal_bell"。
• 续聊：claude -c / -p --continue / --resume $session_id。
• 笔记本可关：Routines 或 claude --cloud "…"（需 claude.ai 登录，非 API key / 非 Bedrock）。
• CI：GitHub Action + dontAsk + --allowedTools。
• 代理：export HTTPS_PROXY=http://127.0.0.1:<Clash的HTTP口>（具体口 官方不知道；舰队记忆 7897 然后 7879）。企业 CA：NODE_EXTRA_CA_CERTS。
• 人门：merge / prod / 花钱保持人手。Classifier 已拦无人 merge 与 prod deploy。

有条件

• --dangerously-skip-permissions / bypassPermissions：仅 非 root 容器/VM/无网 devcontainer；先交互点过责任对话框才能 --bg。Cloud settings 里写了也无效。
• defaultMode: "bypassPermissions"：只能 user/managed，不能 project。
• /goal + auto：条件必须能从 transcript 验证；hooks 被禁则 /goal 不可用。
• Desktop 定时：电脑醒着 + app 开着；合盖 skip；Manual 会 stall 等批准。
• Channels 当“远程批权限 / 手机指挥本机”：research preview；session 必须开着；合盖没用。
• HTTP hook 做出站 webhook：要自建 endpoint + allowedHttpHookUrls。
• CLAUDE_CODE_RETRY_WATCHDOG=1：官方指定 unattended；会无限重试 429/529（spend limit 的 429 立即失败，v2.1.239+）。
• Cursor Cloud Agent 过夜：舰队条件（配额），不是 Anthropic 文档。
• 云 session 开 PR：GitHub App 或 /web-setup；组织 IP allowlist 可能直接让云 session 认证失败。

不建议

• 本机 bypassPermissions / YOLO 过夜。 官方：只给隔离环境；无 prompt-injection 防护；可写 .git/.claude。社区 YOLO ≠ 官方 flag。
• 以为 auto 或 cloud 绿点 = 已上线。 Routines 绿 = 没基础设施错误。Merge/prod 仍要人。
• **项目 settings 里设 auto/bypassPermissions 当默认。** 官方明确不生效。
• **用 --allowedTools 收紧 bypass。** Allow 在 bypass 下无效。
• **只靠 Bash(curl *) deny 当网络边界。** 路径/包装绕过。
• **-p 跑不信任仓库还不加 --bare。** trust 关闭，hooks/MCP 仍可能执行。
• 合盖指望 Desktop/本机 CLI 跑完。 官方会 skip。
• Routines 塞满 connectors。 默认全开且可写、不问。
• Cloud auto-fix 开在会因评论触发 deploy 的仓库。 官方点名 Atlantis 等。
• 跳过 merge / prod / 花钱人门。 舰队禁止；官方 classifier 也按这个方向拦。

Unknowns

写「不知道」= 本次官方页没找到，不发明：

1. **官方 flag/key 名叫 YOLO / --yolo / yolo：** 不存在于 CLI reference、permission-modes、settings-reference。仅 GitHub 社区 issue。
2. **preferredNotifChannel 除 "terminal_bell" 以外的合法枚举：** settings-example 只给了这一个。是否有 "desktop" / "auto" 不知道。
3. **agentPushNotifEnabled / inputNeededNotifEnabled 的类型、默认、是否覆盖 -p：** index 有 key，全文未完整抓到。
4. 内置「任务 100% 完成 → Slack/邮件/通用 webhook」产品： 没找到。只有自写 hooks 或 -p 退出。
5. Clash / 7897 / 7879： 官方未提。系统代理是否自动用 不知道。SOCKS 官方不支持主连接。
6. **macOS 合盖 + caffeinate 能否让 CLI -p 跑完：** Claude 文档没写；只写 Desktop scheduled tasks 合盖仍睡。
7. Cursor Cloud Agent 与 Claude Code 权限模型对照： 非 Anthropic 文档。
8. **Cloud 里 dontAsk 能否用 CLI flag 打开： 文档写 cloud 忽略 settings 的 dontAsk/bypass；mode dropdown 列的是 Accept edits / Plan / Auto。flag 是否另算 不知道**。
9. **changelog 页对应的精确 CLI 版本号（本机未跑 claude --version）：** 不知道当前盒子上的版本。docs 引用到 v2.1.271 量级条目。
10. **Stop hook 是否在成功 -p 退出时稳定 fire、payload 是否含“成功”布尔：** 未把 hooks reference 全文逐字段核对完毕 → 不知道；guide 只说 Stop = Claude finishes responding。

6 社区经验（经验≠官方；本席复核）

可复现配置（社区，非官方新产品）：

alias yolo='claude --dangerously-skip-permissions'   # 经验；官方无 --yolo
claude --bare -p "…" --permission-mode dontAsk --allowedTools "Read" "Bash(npm test)"

口头/过时勿当默认：宿主机连开 YOLO；IS_SANDBOX=1 CLAUDE_CODE_EXPERIMENTAL_AGENT_TEAMS=1（未在官方 env 页核实）；Background Claude 对 auto 的账号限制（已被官方 W32 覆盖）。

6 社区经验（经验≠官方；抓取 2026-09-17）

实验 env IS_SANDBOX=1 / CLAUDE_CODE_EXPERIMENTAL_AGENT_TEAMS=1：官方 env-vars 页本次未核到 → 不进舰队默认。

真源：/home/box/archives/org/2026-09-17-claude-code-unattended.md · 抓取日 2026-09-17 · 正文由 scripts/sync_reports.py 从 md sync，勿手改本页 SYNC 区当真源