string[]記述場所どの設定ファイルでも可denyReadで拒否された領域内の特定のパスに対して、読み取りを再許可します。
{
"sandbox": {
"filesystem": {
"denyRead": ["~/"],
"allowRead": ["."]
}
}
}.)だけをピンポイントで読み取り可能にしたい場合などに使用します。Paths to re-allow reading within denyRead regions. Takes precedence over denyRead for matching paths. See https://code.claude.com/docs/en/sandboxing#granting-subprocess-write-access-to-specific-paths
変更前
変更後は、マネージド設定によるロックがユーザー設定の allowRead パスや allowedDomains を無視している場合、/status と doctor コマンドが警告を表示する。
変更後
以前は、マネージド設定がユーザーが設定したサンドボックスの allowRead パスや許可ドメインを無視しても、その旨は何も表示されず、設定が意図どおりに反映されないことに気づきにくかった。
ユーザーへの恩恵
ユーザーはサンドボックス設定がマネージド設定で上書きされていることを即座に把握し、意図しない設定の反映漏れを防げる。
denyRead/allowRead glob over a large directory tree making the Bash tool description enormous and the session unusable on Linux変更前
Linuxのサンドボックス設定で広範なディレクトリにアクセス制限(denyRead/allowRead)をかけると、Bashツールの権限リストが膨大な文字列としてLLMに渡されていました。
変更後
ファイルパスの評価とツール記述の生成プロセスが最適化され、複雑なディレクトリ階層での権限設定があってもセッションの安定性が維持されるようになりました。
ユーザーへの恩恵
セキュリティのために厳格なファイルアクセス制限を適用しても、CLIの動作が重くなったりクラッシュしたりすることなく、安全に開発を継続できます。
denyRead 領域内での読み取りを再許可する allowRead を追加しましたallowRead sandbox filesystem setting to re-allow read access within denyRead regions変更前
特定のディレクトリへのアクセスを denyRead で制限した場合、そのサブディレクトリを個別に読み取り許可する手段がありませんでした。
変更後
allowRead 設定を使用することで、読み取り拒否された広範なパスの中から特定のサブパスだけを安全に許可できるようになりました。
ユーザーへの恩恵
サンドボックスのセキュリティ制限を維持しつつ、必要なファイルへのアクセスだけをピンポイントで許可できるため、柔軟な環境構築が可能です。