Wszystkie ustawienia settings.json
settings.json służy do konfigurowania Claude Code; zależnie od zakresu ustawienie trafia do pliku użytkownika, projektu, lokalnego albo zarządzanego przez organizację. Zakres jest przypisany do konkretnego klucza, więc przed dodaniem ustawienia sprawdź, czy obsługuje plik, którego chcesz użyć. Ustawienia obejmują między innymi modele, agentów, uprawnienia, MCP, wtyczki, pamięć, interfejs i piaskownicę.
Zaawansowaną kontrolę dostępu do plików zapewnia permissions.blockReadsOutsideWorkingDirectories, które blokuje narzędziom Claude odczyt poza katalogami roboczymi we wszystkich trybach uprawnień. Po ustawieniu wartości true blokada obejmuje narzędzia Read, Grep, Glob i LSP, a do wyjątków służy dodanie katalogu przez /add-dir. Wartość false działa tak samo jak brak klucza, więc nie znosi blokady włączonej w innym pliku ustawień.
Do wskazania poleceń uruchamianych poza piaskownicą służy sandbox.excludedCommands, którego wpisy mają składnię reguł uprawnień Bash(...). Wykluczenie działa tylko wtedy, gdy wzorzec obejmuje wszystkie polecenia w wywołaniu, dlatego wpis docker * sam nie wyjmuje z piaskownicy całego npm ci && docker build .. Wykluczone polecenia nadal przechodzą zwykły proces uzyskiwania uprawnień, a wykluczenie nie jest granicą bezpieczeństwa.
Ustawienia pozwalają też dopasować format czasu interfejsu, a wartość timeFormat może być jednym z presetów albo wzorcem strftime. Preferencje wtyczek zapisuje się w enabledPlugins, mapując nazwę wtyczki i marketplace na wartość logiczną. Przy wtyczkach ustawienia projektu mają pierwszeństwo przed użytkownika, natomiast ustawienia zarządzane nadpisują ustawienia lokalne.
{
"permissions": {
"blockReadsOutsideWorkingDirectories": true
}
}docker * z piaskownicy, pamiętając, że wzorzec musi obejmować całe wywołanie.{
"sandbox": {
"excludedCommands": ["docker *"]
}
}{
"timeFormat": "%H:%M"
}Zastosowanie w praktyce
Użyj blokady odczytów, gdy repozytorium nie powinno pozwalać Claude na czytanie plików poza katalogami roboczymi. Katalogi dodane przez --add-dir, /add-dir albo additionalDirectories w ustawieniach użytkownika lub zarządzanych są uznawane za katalogi robocze. Użyj sandbox.excludedCommands, gdy konkretne narzędzie nie działa w piaskownicy, ale sprawdź kształt całego wywołania przed dodaniem wzorca. Ustaw timeFormat w pliku ustawień, jeśli potrzebujesz wzorca czasu zamiast presetów dostępnych w /config.
sandbox.excludedCommands jako zabezpieczenia: wykluczenie jest tylko wygodą, a przy zapisie do konkretnego miejsca piaskownicę może zachować filesystem.allowWrite.