**文件权限**用于管控 Agent 在沙箱内的本地文件操作边界，通过精细化权限模式，限制文件读写、修改、删除行为，避免 Agent 随意篡改、泄露本地敏感文件，全方位保障设备文件安全。支持**全局默认**、**项目配置**两个权限层级，各层级独立配置、互不干扰，且项目权限优先级高于全局默认，可实现全局统一管控、单项目个性化差异化管控。 * **全局默认**：管控所有**未绑定项目工作空间的会话**（草稿会话、独立临时会话），所有无归属项目的对话，统一遵循该套权限规则执行。支持切换只读、完全访问、自定义三种权限模式。 * **项目配置**：针对具体项目空间的会话独立配置权限，**优先级高于全局默认权限**。进入绑定项目的会话，将优先执行当前项目配置的权限规则，不受全局默认配置影响。支持工作区写入、只读、完全访问、自定义四种权限模式，各项目权限相互隔离，不会互相影响。 > **说明** > 当页面显示“本设备受企业安全策略管理”时，表示当前设备（桌面客户端）已启用企业安全管理能力。企业管理员可以统一配置并向设备（桌面客户端）下发安全策略，策略更新后将自动同步至本设备。 > ![](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_4d23283645ac4ab474eb44c59900b736.png) ## 权限模式说明 |**权限模式** |适用范围 |**说明** | |---|---|---| |**工作区写入权限** |项目配置 |默认模式，直接授予当前项目工作区的读写权限，无需手动添加目录。 | |**只读权限** |全局默认 / 项目配置 |全盘只读，不可修改、新增或删除文件。选择此模式后无法手动添加目录。

> **注意**

> 若系统检测到当前设备的受限沙箱不可用，将无法配置只读权限，并提示“受限沙箱当前不可用，无法强制此档位的文件系统边界”。
| |**完全访问权限** |全局默认/ 项目配置 |可读写整机文件，无需逐一授权。适合数据敏感度较低、希望快速访问所有本地文件的场景。

> **注意**

> 当选择完全访问权限后，会直接放行ArkClaw 生成的终端命令（设备管理页中配置的“禁止 / 需确认”的规则仍会生效）。仅当您信任当前任务时启用。
| |**自定义权限** |全局默认 / 项目配置 |遵循最小权限原则，通过目录白名单精准管控，仅授权目录及其子目录支持文件读写，未授权目录的操作会直接被拦截拒绝。详情请参见[管理自定义权限](https://docs.volcengine.com/docs/87732/2586557)。

> **注意**

> 若系统检测到当前设备的受限沙箱不可用，将无法配置自定义权限，并提示“受限沙箱当前不可用，无法强制此档位的文件系统边界”。
| ## 注意事项 1. 权限管控范围：所有文件权限模式主要管控**文件写入、修改、删除行为**，默认不限制文件读取操作。 2. 权限优先级与隔离：项目权限优先级高于全局默认权限，各项目、全局配置相互独立，修改单一配置不会影响其他场景。 3. 权限临时失效规则：切换为完全访问权限时，会临时放开对应作用域的目录白名单约束，但设备侧命令风控规则持续生效。 4. 双助手适配：本地助手、云上助手均严格执行文件权限校验，云上助手在云端沙箱内遵循同款规则，且两套助手的权限配置相互独立。 5. 异常排查：Agent 文件写入失败时，优先核查目录是否加入自定义权限白名单、当前权限模式是否支持写入操作。 ## 使用场景 1. **安全合规防护**：对全局或敏感项目使用只读、自定义权限，限制 Agent 访问系统、桌面、隐私文档等目录，杜绝文件误篡改、数据泄露风险。 2. **项目数据隔离**：为不同项目配置独立差异化权限，实现各项目文件操作隔离，避免跨项目文件误操作、数据混淆。 3. **常规项目运维**：日常项目开发调试，使用默认的工作区写入权限，兼顾安全性和操作便捷性。 4. **快速调试场景**：可信、低敏感的临时调试任务，可临时开启完全访问权限，简化目录授权操作，提升调试效率。 ## 前提条件请确认已完成[本机设备授权](https://docs.volcengine.com/docs/87732/2529906?lang=zh#ZJ0j4Jsu)和[添加项目](https://docs.volcengine.com/docs/87732/2582245#1drmPSys)。 ## 切换文件访问权限 1. 在本地登录 ArkClaw 客户端。 2. 切换至目标ArkClaw。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_bcc667091f7ca5a735d6ca48e4b4d92e.png) 3. 进入主会话或项目会话界面。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_bf0013c49ac381c734af0b7dbea037f7.png) 4. 单击对话框下方的“请求批准模式 \> 当前会话文件系统权限”按钮。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_0d0989b5089f16226d2b8bc006bcacfc.png) 5. 在**本机沙箱权限**模块中，将**全局默认**或目标项目的权限类型切换为**自定义权限、只读权限、完全访问权限或工作区写入（仅项目支持）。** ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_d99c5251043c6a766b20b76cee315716.png)![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_836afdfc67927382c5f2321a82ffe507.png) ## 管理自定义权限在本地文件权限为**自定义**时，可通过添加可写入目录，授权指定本地目录的写入权限。添加后，本机文件工具与终端命令仅可在已添加目录及其子目录下执行写入操作；如果任务尝试写入未授权目录，将因权限不足被拒绝。权限配置分为两类： * **全局默认**：适用于未绑定项目工作空间的会话。 * **项目配置**：适用于指定项目，例如 bytedance 项目，路径为 /Users/bytedance。 > **注意** > 当当前设备的受限沙箱不可用时，将无法配置自定义权限，并提示“受限沙箱当前不可用，无法强制此档位的文件系统边界”。 ### **添加目录** 1. 在本地登录ArkClaw 客户端。 2. 切换至目标ArkClaw。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_bcc667091f7ca5a735d6ca48e4b4d92e.png) 3. 进入主会话或项目会话界面。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_bf0013c49ac381c734af0b7dbea037f7.png) 4. 单击对话框下方的“请求批准模式 \> 当前会话文件系统权限”按钮。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_98480dd2912c8e497af615b5f2b81c5f.png) 5. 在**文件权限**页签中，将**全局默认**或目标项目的权限类型切换为**自定义权限。** ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_3ed6ead8ad3130d7e8f746a8dacc3a86.png) 6. 单击“+ 添加可读写目录”按钮。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_d18c4028cbb54124e348b07733245554.png) 7. 在弹出的文件夹选择器中，选择需要授权的本地路径。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_a19ee0946c03a0e32e580d57259af49e.png) 8. 添加完成后，目录列表中将显示该路径及添加时间。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_ea0d7ad0379989fed65c2b05d571f8b4.png) ### **删除目录** > **注意** > 删除已授权目录后，ArkClaw将无法再访问或操作该目录下的文件，但本地目录及文件内容不受影响。 1. 单击已添加目录右侧的“删除”按钮。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_aadd3ce9f28872986d2afc1323ad094e.png) 2. 在弹出的对话框中，单击“移除”按钮，即可撤销该目录的访问授权。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_14fa674f4463c0162bd0084adc7f11f9.png) ## 支持操作的本地文件类型 ArkClaw 客户端支持对以下类型的本地文件进行读取、修改、生成等操作。 > **说明** > 若遇到**本地文件读写能力暂不可用**提示，单击“立即修复”按钮，修复完成后重试相关操作。 > ![](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_e9ff197581860785c6fa43739f85a2ab.png) |文件类型 |支持操作 |示例 | |---|---|---| |Markdown 文件（.md） | 读取、修改、生成、删除 |查看一下 TODO.md 内容。

![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_61d677ea2063901c0b6068a283c741c9.png) | |Excel 文件（.xlsx） |生成、修改 |修改这个文件第一行第二列，改为阿凡达2

![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_25f65282b1c89820af36948f6c024e5d.png)

![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_ac4ddbd4aaf04e4fa1a1e821e3b3383f.png) |

ArkClaw 企业版