必须显式限制CodeBuddy可调用工具范围：CLI用--allowedTools限定（如Bash(curl:,jq:)），IDE通过“plan”权限模式预览再执行，或设--disallowedTools禁用高危工具，本地Hook脚本可硬编码白名单并拦截非法调用。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
调试微服务接口时，需要防止CodeBuddy自动执行危险操作（如删库、改配置、调用生产环境API），必须显式限制它能调用的工具范围。
CLI模式下用--allowedTools参数限定工具集
在终端中运行codebuddy命令时，直接通过--allowedTools指定白名单：
codebuddy -p"分析这个HTTP错误日志" --allowedTools "Bash(curl:*,jq:*)"
这行命令只允许CodeBuddy调用curl和jq两个命令，且仅限于当前目录及子目录内执行；其他所有系统命令、文件编辑、Git操作均被拦截。
【Bash(curl:*,jq:*)中的星号表示通配符，但不包含上级目录路径，这是安全边界】
IDE插件中通过权限模式动态控制
方法一：在VS Code或JetBrains中打开CodeBuddy侧边栏 → 点击右上角齿轮图标 → 选择“权限模式” → 切换为“plan”模式。
该模式下，CodeBuddy不会自动执行任何工具，仅输出可执行的操作计划（例如：“建议运行 curl -X GET http://localhost:8080/api/beacon/123”），你确认后才真正执行。
方法二：点击齿轮图标 → “高级设置” → 手动输入禁用列表：--disallowedTools Bash(rm:*),Edit,Python。
CodeBuddy Code CLI 的安装、配置与使用指南。CodeBuddy Code 是腾讯推出的 AI 驱动 CLI 编程助手，支持自然语言驱动开发。 - 必备触发词：CodeBuddy, codebuddy, AI CLI, Tencent AI coding, @tencent-ai/codebuddy-code, terminal AI assistant - 适用场景：安装 CodeBuddy CLI、配置 CodeBuddy、使用 CodeBuddy 命令、排查 CodeBuddy 问题
这一设置会立即生效，下次触发补全或对话时，删除文件、编辑源码、运行Python脚本的功能全部灰显不可用。
本地Hook脚本中硬编码工具白名单
第一步：进入项目根目录，确保已存在.codebuddy/hook/目录。
第二步：创建.codebuddy/hook/restrict_tools.js，内容如下：
const ALLOWED_TOOLS = new Set(['curl', 'jq', 'grep']);
第三步：在.codebuddy/settings.json中添加钩子配置：
{"hooks": {"ToolExecutionRequest": ".codebuddy/hook/restrict_tools.js"}}
第四步：重启IDE或重新加载CodeBuddy插件。此后每次CodeBuddy尝试调用工具前，都会先比对工具名是否在ALLOWED_TOOLS集合中，不在则直接拒绝并返回退出码2。
