blockReadsOutsideWorkingDirectoriesで作業ディレクトリ外の読み取りを止める

Claude Codeにはpermissions.blockReadsOutsideWorkingDirectoriesという設定があります。有効にすると、Read・Grep・Glob・LSPの各ツールは作業ディレクトリの外を一切読めなくなります。denyReadやallowReadでパスを1本ずつ書く手間もいりません。1つのBooleanを立てるだけで、ホームディレクトリやマウントされたボリュームへの読み取りを一括で塞げます。

permissions.blockReadsOutsideWorkingDirectoriesとは

permissions.blockReadsOutsideWorkingDirectoriesは、セッションの作業ディレクトリの外にあるパスを、Read・Grep・Glob・LSPの4ツールに読ませなくするBoolean設定です。bypassPermissionsモードを含む、すべての権限モードで適用されます。Claude Code v2.1.257以降が必要です。

ここでいう「作業ディレクトリ」は、Claude Codeを起動したディレクトリ(プライマリ作業ディレクトリ)が基本です。これに--add-dir・/add-dir・permissions.additionalDirectoriesで追加したディレクトリが加わります。/cdでセッションを別のディレクトリへ移動すると、プライマリ作業ディレクトリ自体もそちらに切り替わります。この範囲の外を指すパスすべてが、このブロックの対象になります。/cdの移動先そのものは、Cd権限ルールで絞れます。

v2.1.287のclaude --helpでは、--add-dir <directories...>が「Additional directories to allow tool access to」と表示されます。

ただし、追加したディレクトリのすべてが「作業ディレクトリ」として数えられるわけではありません。.claude/settings.jsonのadditionalDirectoriesは、ブロックの判定では数えられません。.claude/settings.local.jsonも、gitが未追跡と報告するときを除いて同じ扱いです。git管理外のディレクトリでは、settings.local.jsonもリポジトリ設定として扱われます。読ませたいディレクトリは、ユーザー設定か--add-dir・/add-dirで足します。

Bashコマンドも対象です。Claude Codeは次のコマンドを、組み込みの読み取り専用コマンドとして認識しています。ls・cat・echo・pwd・head・tail・grep・find・wc・which・diff・stat・du・cdと、読み取り専用のgitサブコマンドです。これらは通常どのモードでもプロンプトなしで実行されますが、塞がれたパスを実際に読もうとすると、auto modeやbypassPermissionsモードでも確認プロンプトが出ます。シェルのパーサーが構造を追いきれないコマンド(cdを2回連続で行う、サブシェルを使う、など)も同様にプロンプトが出ます。この場合は、コマンドが作業ディレクトリ外のパスを名指ししていなくてもプロンプトが表示されます。ただしサンドボックス側がこのブロックを担っているときは、この確認は出ません。

設定方法 — settings.jsonに1行足すだけ

設定はsettings.jsonに次の1行を足すだけです。

{
  "permissions": {
    "blockReadsOutsideWorkingDirectories": true
  }
}

このキーのスコープは「どの設定ファイルからでも」です。ユーザー設定・プロジェクト設定・ローカル設定・managed settingsのいずれかでtrueが1つでも立っていれば、ブロックは有効になります。リポジトリにチェックインした設定ファイルは、プロジェクトに対してブロックを新たに立てられますが、他のスコープが立てたブロックを外すことはできません。既定値は未設定で、その場合は通常どおり権限モードとルールに従って読み取りが判断されます。

サンドボックスと併用する場合は、同じ設定ファイルに両方のキーをまとめられます。

{
  "sandbox": {
    "enabled": true
  },
  "permissions": {
    "blockReadsOutsideWorkingDirectories": true
  }
}

この構成では、サンドボックス化されたBashコマンドの書き込みは作業ディレクトリ・追加ディレクトリ・一時ディレクトリに限られます。読み取りは、ホームディレクトリと/Users・/homeなどユーザーのファイルを置くルートが塞がれます。Claude自身のRead・Grep・Glob・LSPは作業ディレクトリ外を全面的に拒否するので、両者の範囲は同じではありません。差は次節の表と、後述の3条件が示しています。

ブロックが有効でも、Claude Code自身が動作に必要とするファイルは読み取れます。~/.claude/配下のスキル・プラグイン・ルール・サブエージェント・カスタムコマンド、そしてCLAUDE.mdメモリファイルです。/add-dirによる追加そのものを監査したい場合は、DirectoryAddedフックで/add-dir追加後のディレクトリを監査して取り消すが参考になります。

効果が及ぶ範囲 — ツールとサンドボックスへの影響

permissions.blockReadsOutsideWorkingDirectoriesが塞ぐ範囲は、ツールの種類によって扱いが変わります。

この設定がサンドボックスと組み合うと意味が大きくなります。サンドボックス化されたBashコマンドの既定の読み取り範囲は、いくつかの拒否ディレクトリを除いてコンピューター全体に及びます。~/.aws/credentialsや~/.ssh/のような認証情報ファイルも、既定ではこの広い読み取り範囲に含まれます。書き込みは作業ディレクトリ・追加ディレクトリ・一時ディレクトリに限られる一方、読み取りだけは既定でほぼ無制限に開いている、という非対称な構成です。permissions.blockReadsOutsideWorkingDirectoriesを有効にすると、サンドボックス側にも読み取り拒否が加わります。拒否されるのは、作業ディレクトリ外にあるホームのほか/Users・/home・/root・/Volumes・/mnt・/media・/run/media・/srvといった、ユーザーのファイルを置くルートです。そのうえで、作業ディレクトリ、Claude Codeが作るworktree、セッションの一時ディレクトリ、~/.claudeのうちスキルやプラグインなどコマンドが必要とする部分を開け直します。作業ディレクトリがリンクされたgit worktreeのときは、リポジトリ共通の.gitディレクトリもサンドボックス化コマンドから読み書きできます。リポジトリ設定のallowReadとallowWriteの項目は、ブロック中は数えられません。

gitの動作に必要なグローバル設定は例外で、開け直されます。対象は~/.gitconfigと、$XDG_CONFIG_HOME/git(既定は~/.config/git)のconfig・ignore・attributesです。[include]・[includeIf]・core.excludesFile・core.attributesFileで名指しされたファイルも含まれます。サンドボックス化コマンドが書き込める場所にあるファイルは、シンボリックリンク経由を含めて開け直されません。個別のツールがどうしても必要とする場合は、sandbox.filesystem.allowReadでそのパスだけ再度開けます。サンドボックスとの組み合わせ方はClaude Codeの制限モード(--restricted)の使い方でも扱っています。

サンドボックスが対応していないコマンドは、dangerouslyDisableSandboxを使ってサンドボックス外で再試行されることがあります。再試行はサンドボックスを経由しないため、通常の権限フローに戻ります。permissions.blockReadsOutsideWorkingDirectoriesが有効なときは、承認が要る再試行がauto modeの分類器評価に回らず、確認プロンプトに切り替わります。allowルール(例: Bash(curl *))に一致する再試行は、プロンプトなしでサンドボックス外で実行されます。承認が要る再試行に限って、作業ディレクトリ外の読み取りがサンドボックスの外に出た瞬間だけ無審査で通る抜け道を塞ぎます。

denyRead/allowReadで個別に書く場合との使い分け

パスごとの例外を管理設定に固定する構成は、Claude CodeのallowManagedReadPathsOnlyで読み取り再許可を管理設定に限定するで扱っています。単純な内外分離だけで足りるなら、permissions.blockReadsOutsideWorkingDirectoriesのほうが設定は少なく済みます。

自動モードの初回プロンプトから有効化する

permissions.blockReadsOutsideWorkingDirectoriesをオフのまま使っていても、auto modeでは作業ディレクトリ外への最初の読み取りで一度だけプロンプトが出ます。ClaudeがRead・Grep・Globのいずれかを作業ディレクトリ外のパスに初めて使ったタイミングです。

選択肢は4つで、保存されるかどうかが違います。

このプロンプトは、非対話の-p実行とバックグラウンドセッションでは出ず、読み取りはそのまま実行されます。あとで特定のパスを読ませたくなったら、/add-dirでそのディレクトリを追加するか、設定自体を削除します。

バージョンごとの挙動の変化

permissions.blockReadsOutsideWorkingDirectoriesは追加後もいくつかの修正を経ています。

読めない・読めてしまうときの切り分け

症状ごとに、原因として公式に書かれているものを並べます。

ほかにも、症状別に次の挙動があります。

• サンドボックス内のgitがトークンまで読んでしまう: ~/.gitconfigなどは開け直されます。http.extraHeaderのトークンのようなシークレットが入っていると、サンドボックス化されたコマンドにも見えます。その場合はsandbox.filesystem.denyReadにそのパスを足します。denyReadの項目は、開け直しより常に優先されます。
• 自動メモリが動かない: autoMemoryDirectoryの値がプロジェクトの.claude/settings.json由来のときは、そのディレクトリから自動メモリが読み込まれず、書き込みもされません。信頼済みの.claude/settings.local.json由来のときも同じです。
• Linux・WSL2でgit設定が効かない: 設定ファイルがシンボリックリンクだと、そのパスのままでは読めないことがあり、gitは設定なしで動きます。~/.git-credentialsと$XDG_CONFIG_HOME/git/credentialsは塞がれたままです。

外し方と、外せないケース

1つのファイルでfalseにしても外れません。組織のmanaged settingsでtrueにされている場合、開発者側で戻す手段はありません。

作業ディレクトリに追加できないパスもあります。\\server\shareのようなUNC共有など、ほとんどのネットワークパスは--add-dirで追加できません。パスの存在確認自体がそのホストへの通信を発生させるためです。Windowsでは、共有をドライブレターにマップしたうえで、そのドライブを起動時の--add-dirに渡します。

まとめ

作業ディレクトリの内外を分けるだけならこの設定1つで足り、ディレクトリごとの例外が要るならdenyRead/allowReadの領分です。