07 Permissions（安全与权限基线）

官方语义

• allow：直接执行
• ask：询问批准
• deny：阻止
• 支持通配符，且最后匹配生效

团队基线（推荐）

{
  "$schema": "https://opencode.ai/config.json",
  "permission": {
    "*": "ask",
    "read": {
      "*": "allow",
      "*.env": "deny",
      "*.env.*": "deny",
      "*.env.example": "allow"
    },
    "glob": "allow",
    "grep": "allow",
    "list": "allow",
    "lsp": "allow",
    "todowrite": "allow",
    "task": "ask",
    "webfetch": "ask",
    "websearch": "ask",
    "codesearch": "ask",
    "bash": {
      "*": "ask",
      "git *": "allow",
      "npm *": "allow",
      "pnpm *": "allow",
      "yarn *": "allow",
      "bun *": "allow",
      "rm *": "deny",
      "del *": "deny",
      "rmdir *": "deny"
    },
    "edit": { "*": "ask" },
    "external_directory": "ask"
  }
}

Plan / Build 分权

{
  "agent": {
    "plan": { "permission": { "edit": "deny", "bash": "ask" } },
    "build": {
      "permission": {
        "edit": "ask",
        "bash": { "*": "ask", "git *": "allow" }
      }
    }
  }
}

参考

• https://opencode.ai/docs/permissions/