この記事は Zenn に投稿したものの再掲です。内容は同じで、更新も両方に反映します。

Claude Code で「このコマンドを許可しますか」と聞かれて Yes, and don't ask again を押すと、~/.claude/settings.json の permissions.allow に1行足される。押すたびに足される。押した記憶はもう無い。

数えたら152件あった。

そのうち何件が、いま現在も自分を助けているのか。設定ファイルを眺めても分からないので、手元のセッションログにある Bash 呼び出し全件に照合した。

結果は先に書く。

一度でも一致したルール 18 / 133 = 13.5%

形ごとの生存率
  接頭辞             14/ 20 =  70.0% が一致 / 一致回数 合計 47,559
  ワイルドカード          4/ 21 =  19.0% が一致 / 一致回数 合計 54
  完全一致             0/ 92 =   0.0% が一致 / 一致回数 合計 0

完全一致の形で書かれた92件は、10万9762回のコマンド実行に対して、合計0回しか一致していない。

ルールの63%は完全一致の形をしている

まず形を数えた。

=== permissions.allow 152 件の形
  完全一致             96 =  63.2%
  ワイルドカード          33 =  21.7%
  接頭辞              22 =  14.5%
  引数なし              1 =   0.7%

Bash(git push:*) のような接頭辞ルールは「git push で始まる何か」に効く。次も効く。
Bash(python -m pytest tests/unit/services/test_a.py tests/unit/services/test_b.py -v --tb=short) のような完全一致ルールは、この文字列そのものが再び来たときだけ効く。

完全一致が63%を占めていた。中身を見るとさらに悪い。

=== 完全一致の Bash ルール 92 件の中身
  絶対パスを含む            13 =  14.1%
  引数が3語以上            81 =  88.0%
  80字を超える            49 =  53.3%
  長さ 中央値 87 / 最大 335

中央値87文字。最長335文字。88%が3語以上の引数を持つ。

最悪の1件は Bash(kill 168) だった。PID 168 は二度と来ない。 このルールが再び効く世界線は存在しない。

同じ性質のものが並んでいる。絶対パス直書きの sqlite3 呼び出し。テストファイル名を7個並べた pytest。xattr -l node_modules/electron/dist/...。どれも「その日その瞬間に走ったコマンドそのもの」の形をしている。

なぜそうなるか

承認ダイアログは、いま走ろうとしているコマンドを見せて Yes を押させる。 押した結果として保存されるのは、いま見せたそのコマンドである。当たり前だ。それ以外に保存できるものがない。

つまり permissions.allow に自動で溜まっていくルールは、構造的に、二度と来ない形をしている。次に似たコマンドが来ても、テストファイルが1つ増えただけ、フラグが1つ変わっただけで一致しない。また聞かれる。また Yes を押す。また1行増える。

152件は、そうやって増えた。

検証：ゼロは本物か

「0件」は照合器のバグでも出る。潰した。

設定ファイルに保存されるとき、括弧はエスケープされる。python -c "print\('OK'\)" のように。実際に走ったコマンドにバックスラッシュは無いので、素朴に文字列比較すると必ず外れる。9件が該当した。

そこでエスケープ解除版も一致候補に入れて再照合した。

def matcher(arg):
    if arg.endswith(":*"):
        pre = arg[:-2]
        return lambda c: c == pre or c.startswith(pre + " ")
    if "*" in arg:
        return lambda c: fnmatch.fnmatchcase(c, arg)
    # 設定ファイル側は括弧をエスケープして保存される。
    # 素の文字列とエスケープ解除版の両方を許す（偽の不一致を防ぐ）。
    cand = {arg, arg.replace("\\(", "(").replace("\\)", ")")}
    return lambda c: c in cand

結果は変わらず 0/92 だった。ゼロは照合器の都合ではない。

効いている20件

一方、接頭辞ルールは20件しかないのに、一致の合計が47,559回ある。上位はすべて接頭辞形だった。

一致回数 上位（形と回数のみ）
   45502  [接頭辞]
     543  [接頭辞]
     459  [接頭辞]
     441  [接頭辞]
     147  [接頭辞]
     110  [接頭辞]

この20件は、自動で溜まったものではない。 「また同じことを聞かれる」と気づいて、手で :* の形に書き直したものだ。書き直した記憶がある。

自動で152件溜まり、そのうち手で直した20件だけが働いている。残りは設定ファイルの体積になっている。

数えなかったこと

被覆率は出していない。 出せなかった。

複合コマンド（&& || ; | を含む） 94,778 = 86.3%

コマンドの86%が cd X && ... のような複合形だった。実際の許可判定は複合コマンドを分解して各部分を照合するが、この計測は1本の文字列として扱っている。したがって「何%のコマンドがルールで自動許可されたか」を出すと過大になる。最初に出した43.4%という数字は捨てた。

出せるのは「ルールが一致したか」という、ルール側から見た数だけである。それは分解の影響を受けない（分解すれば一致機会は増えこそすれ減らない。つまり 0件は上限側から見てもゼロ）。

もう一つ。完全一致ルールは「承認した瞬間に作られる」ので、それを生んだコマンド自身とは一致し得ない（もう走り終わっている）。ここで数えているのは「その後もう一度来たか」である。0回とは、一度も来なかったという意味だ。

何をすればいいか

permissions.allow を開いて、* の付いていない行を全部消す。 消しても失うものはない。0回しか効いていない。

そのうえで、消したものの中に「また聞かれると分かっているもの」があれば、接頭辞の形で1行書き直す。pytest を毎回聞かれるなら Bash(python -m pytest:*) の1行で、42件のテスト実行ルールが要らなくなる。

ただしこれは許可範囲を広げる操作である。Bash(git:*) と書けば git push --force も通る。狭く始めて、必要になったら広げるほうがいい。

そして、自動で溜まる分は今後も溜まる。溜まる仕組みが生む形は、再利用できない形だと分かった以上、定期的に捨てる以外にない。

計測に使ったスクリプトを置いておく。集計値と「ルールの形」しか出力しない（許可ルールにはプロジェクト名・パス・接続先が入るため、本文は表示しない）。

#!/usr/bin/env python3
"""~/.claude/settings*.json の permissions.allow が実際に効いたかを、
セッションログの Bash 呼び出し全件に照合して数える。

    python3 permission_rules.py

出すのは集計値と「ルールの形」だけ。ルール本文は表示しない
（許可ルールにはプロジェクト名・パス・接続先が入るため）。
"""
import json, os, re, glob, fnmatch, collections, statistics

SETTINGS = ["settings.json", "settings.local.json"]
LOGS = os.path.expanduser("~/.claude/projects/**/*.jsonl")


def load_rules():
    out = []
    for name in SETTINGS:
        p = os.path.expanduser("~/.claude/" + name)
        if not os.path.isfile(p):
            continue
        d = json.load(open(p, encoding="utf-8"))
        out += (d.get("permissions") or {}).get("allow", [])
    return out


def shape(arg):
    """ルールの形。再利用できる形か、一度きりの形か。"""
    if arg.endswith(":*"):
        return "接頭辞"
    if "*" in arg:
        return "ワイルドカード"
    return "完全一致"


def matcher(arg):
    if arg.endswith(":*"):
        pre = arg[:-2]
        return lambda c: c == pre or c.startswith(pre + " ")
    if "*" in arg:
        return lambda c: fnmatch.fnmatchcase(c, arg)
    # 設定ファイル側は括弧をエスケープして保存される。
    # 素の文字列とエスケープ解除版の両方を許す（偽の不一致を防ぐ）。
    cand = {arg, arg.replace("\\(", "(").replace("\\)", ")")}
    return lambda c: c in cand


def main():
    rules = load_rules()
    bash = [m.group(1) for m in (re.match(r"^Bash\((.*)\)$", r, re.S) for r in rules) if m]

    by_shape = collections.Counter()
    for r in rules:
        m = re.match(r"^[A-Za-z_]+\((.*)\)$", r, re.S)
        by_shape[shape(m.group(1)) if m else "引数なし"] += 1
    print(f"=== permissions.allow {len(rules)} 件の形")
    for k, v in by_shape.most_common():
        print(f"  {k:14} {v:4} = {v / len(rules) * 100:5.1f}%")

    lit = [a for a in bash if "*" not in a]
    print(f"\n=== 完全一致の Bash ルール {len(lit)} 件の中身")
    for k, f in [
        ("絶対パスを含む",     lambda a: "/Users/" in a),
        ("引数が3語以上",      lambda a: len(a.split()) >= 3),
        ("80字を超える",       lambda a: len(a) > 80),
    ]:
        n = sum(1 for a in lit if f(a))
        print(f"  {k:16} {n:4} = {n / len(lit) * 100:5.1f}%")
    print(f"  長さ 中央値 {statistics.median(len(a) for a in lit):.0f} / 最大 {max(len(a) for a in lit)}")

    M = [(a, matcher(a)) for a in bash]
    hit = collections.Counter()
    total = compound = 0
    files = glob.glob(LOGS, recursive=True)
    for f in files:
        with open(f, encoding="utf-8", errors="replace") as fh:
            for line in fh:
                if '"Bash"' not in line:
                    continue
                try:
                    d = json.loads(line)
                except ValueError:
                    continue
                content = (d.get("message") or {}).get("content")
                for b in content if isinstance(content, list) else []:
                    if not (isinstance(b, dict) and b.get("type") == "tool_use"
                            and b.get("name") == "Bash"):
                        continue
                    c = ((b.get("input") or {}).get("command") or "").strip()
                    if not c:
                        continue
                    total += 1
                    if re.search(r"&&|\|\||;|\|", c):
                        compound += 1
                    for a, fn in M:
                        if fn(c):
                            hit[a] += 1

    print(f"\n=== ログ {len(files)} ファイル / Bash 呼び出し {total:,} 件に照合")
    used = sum(1 for a in bash if hit[a])
    print(f"一度でも一致したルール {used} / {len(bash)} = {used / len(bash) * 100:.1f}%")
    print("\n形ごとの生存率")
    for name in ("接頭辞", "ワイルドカード", "完全一致"):
        g = [a for a in bash if shape(a) == name]
        if not g:
            continue
        u = sum(1 for a in g if hit[a])
        print(f"  {name:14} {u:3}/{len(g):3} = {u / len(g) * 100:5.1f}% が一致"
              f" / 一致回数 合計 {sum(hit[a] for a in g):,}")

    print("\n一致回数 上位（形と回数のみ）")
    for a, n in hit.most_common(8):
        print(f"  {n:6}  [{shape(a)}]")

    print(f"\n複合コマンド（&& || ; | を含む） {compound:,} = {compound / total * 100:.1f}%")
    print("  実際の照合は複合を分解して行われる。ここでは1本の文字列として")
    print("  扱っているため、被覆率は算出しない。")


if __name__ == "__main__":
    main()

関連

152件ためこんで92件が死んでいた、というのは許可ルールに限った話ではありません。指示ファイルでも同じことが起きていて、そちらは「配ったのに守られない」という形で出ます。効かないルールが増えても実行は止まらないので、数えるまで気づけないところまで同じです。

まず何を削るか、層をどう切るか、効かなくなる4つのパターンの見分け方をまとめた本があります。

→ AIコンテキスト設計ガイド ── 規約を配ったのに守られない理由（2,000円）

第3章「規約が効かなくなる4つのパターン」まで無料で読めます。
/compact の後もルートの CLAUDE.md は再注入されるが、サブディレクトリと paths: 付きは再注入されない ── 長いセッションで静かに落ちるのはどちらか、という章です。第1章が、この記事と同じ「削る」側の話です。