Claude Code“不再询问”授权会将敏感凭证明文写入本地配置文件

Claude Code授权选不再询问会把敏感凭证明文写入settings.local.json，推送GitHub恐泄露

据蓝点网报道，当开发者在 Claude Code 弹出的授权提示中点击“不再询问”按钮时，该工具会把对应的命令规则保存到项目的 settings.local.json 配置文件里；如果命令本身带有敏感凭证，凭证也会以明文形式一并写入该文件。一旦文件随项目推送到 GitHub 公开仓库，相关凭证即可能泄露。文章转述称已有安全公司检测到不少仓库因此泄露敏感凭证，Claude Code 团队表示正在研究清理保存规则中凭证的可行方案，但相关方案尚未落地。需要说明的是，该信息为二手转述，原文未附原始安全报告链接，泄露仓库的具体规模无法核实。

rss · 蓝点网 · 11月9日 04:00

「为何值得现在关注」 安全公司已检测到实际泄露案例，说明这不是纯理论风险；而官方的清理方案仍在研究中、尚未发布，意味着当前使用“不再询问”功能的开发者仍可能把含凭证的命令规则随仓库推送出去，需要尽快自查本地配置和已推送的历史记录。

「内容切入角度」 可做角度：写一篇克制的实操排查指南——教开发者检查项目里 settings.local.json 中保存的命令规则是否含有凭证、确认该文件是否被排除在版本控制之外、并对已推送过的公开仓库轮换相关凭证，同时明确交代官方清理方案尚未发布、泄露规模未经独立核实这两点不确定性。

查看原文 ↗