checklist

~/.claude/settings.json에 글로벌 deny 리스트가 있다 (rm -rf, sudo, mkfs, dd of=/dev/, fork bomb).

프로젝트 .claude/settings.json에 프로젝트별 allow/ask가 있다.

워킹 디렉터리 화이트리스트(additionalWorkingDirectories)가 좁다.

IaC apply/destroy, git push --force, 패키지 설치는 ask 또는 deny.

새 저장소는 Devcontainer/Codespaces에서 처음 연다.

프로덕션 자격 증명과 Claude 세션을 분리한다.

--dangerously-skip-permissions는 격리 CI에서만 쓴다.

다섯 권한 모드 의미를 외운다.

yes-fatigue 자동 승인을 하지 않는다 (의심스러우면 거절).

정기적으로 사고 사례를 팀에 공유한다 (Wolak, DataTalks.Club).

체크리스트 — 권한·sandbox 점검 (10항목)