---
read_when:
    - Вибір auto, ask, allowlist, full або deny для дозволів команд
    - Налаштування схвалень, перевірених Codex Guardian, через tools.exec.mode
    - Порівняння схвалень виконання OpenClaw із дозволами ACPX harness
summary: Режими дозволів для host exec, схвалень Codex Guardian і сеансів ACPX harness
title: Режими дозволів
x-i18n:
    generated_at: "2026-06-27T18:27:41Z"
    model: gpt-5.5
    postprocess_version: locale-links-v1
    provider: openai
    source_hash: 6ce89cadb45b3b96ce9ab62b35c06610d02f0ff02f15ef7d2128c59fbebb325a
    source_path: tools/permission-modes.md
    workflow: 16
---

Режими дозволів визначають, скільки повноважень має агент, перш ніж він зможе запускати команди хоста, записувати файли або просити бекенд-обвʼязку про додатковий доступ. Починайте з `tools.exec.mode: "auto"`, коли хочете, щоб OpenClaw спершу використовував списки дозволеного, а потім нативну автоматичну перевірку Codex або маршрут схвалення людиною для промахів.

<Note>
  Режим дозволів відокремлений від `tools.exec.host=auto`. `tools.exec.host`
  вибирає, де виконується команда. `tools.exec.mode` вибирає, як схвалюється
  виконання команд хоста.
</Note>

## Рекомендоване значення за замовчуванням

Використовуйте `auto` для агентів кодування, яким потрібен корисний доступ до хоста без перетворення кожного промаху на запит до людини:

```bash
openclaw config set tools.exec.mode auto
openclaw approvals get
openclaw gateway restart
```

Потім перевірте ефективну політику:

```bash
openclaw exec-policy show
```

У режимі `auto` OpenClaw напряму запускає детерміновані збіги зі списком дозволеного. Промахи схвалення спершу проходять через нативного автоматичного рецензента OpenClaw, а потім за потреби переходять до налаштованого маршруту схвалення людиною.

## Режими виконання команд хоста OpenClaw

`tools.exec.mode` є нормалізованою поверхнею політики для хостового `exec`.

| Режим       | Поведінка                                           | Коли використовувати                                  |
| ----------- | --------------------------------------------------- | ----------------------------------------------------- |
| `deny`      | Блокувати виконання команд хоста.                   | Команди хоста не дозволені.                           |
| `allowlist` | Запускати лише команди зі списку дозволеного.       | У вас є відомий безпечний набір команд.               |
| `ask`       | Запускати збіги зі списком дозволеного й питати при промахах. | Людина має перевіряти нові форми команд.              |
| `auto`      | Запускати збіги зі списком дозволеного, потім використовувати автоматичну перевірку. | Сеансам кодування потрібен практичний захищений доступ. |
| `full`      | Запускати команди хоста без запитів.                | Цей довірений хост/сеанс має пропускати шлюзи схвалення. |

Повну політику виконання команд хоста, локальний файл схвалень, схему списку дозволеного, безпечні бінарні файли та поведінку переспрямування див. у [Схваленнях exec](/uk/tools/exec-approvals).

## Зіставлення Codex Guardian

Для нативних сеансів сервера застосунку Codex `tools.exec.mode: "auto"` зіставляється зі схваленнями, перевіреними Codex Guardian, коли локальні вимоги Codex це дозволяють. OpenClaw зазвичай надсилає:

| Поле Codex         | Типове значення   |
| ------------------ | ----------------- |
| `approvalPolicy`   | `on-request`      |
| `approvalsReviewer` | `auto_review`    |
| `sandbox`          | `workspace-write` |

У режимі `auto` OpenClaw не зберігає застарілі небезпечні перевизначення Codex, як-от `approvalPolicy: "never"` або `sandbox: "danger-full-access"`. Використовуйте `tools.exec.mode: "full"` лише тоді, коли навмисно потрібна позиція без схвалень.

Налаштування сервера застосунку, порядок автентифікації та деталі нативного середовища виконання Codex див. у [обвʼязці Codex](/uk/plugins/codex-harness).

## Дозволи обвʼязки ACPX

Сеанси ACPX неінтерактивні, тому вони не можуть натиснути запит дозволу в TTY. ACPX використовує окремі налаштування рівня обвʼязки в `plugins.entries.acpx.config`:

| Налаштування               | Типове значення | Значення                                    |
| -------------------------- | --------------- | ------------------------------------------ |
| `permissionMode`           | `approve-reads` | Автоматично схвалювати лише читання.        |
| `permissionMode`           | `approve-all`   | Автоматично схвалювати записи та команди оболонки. |
| `permissionMode`           | `deny-all`      | Відхиляти всі запити дозволів.              |
| `nonInteractivePermissions` | `fail`         | Переривати, коли потрібен запит.            |
| `nonInteractivePermissions` | `deny`         | Відхиляти запит і продовжувати, коли можливо. |

Налаштовуйте дозволи ACPX окремо від схвалень exec OpenClaw:

```bash
openclaw config set plugins.entries.acpx.config.permissionMode approve-all
openclaw config set plugins.entries.acpx.config.nonInteractivePermissions fail
openclaw gateway restart
```

Використовуйте `approve-all` як аварійний еквівалент сеансу обвʼязки без запитів для ACPX. Деталі налаштування та режими відмов див. у [налаштуванні агентів ACP](/uk/tools/acp-agents-setup#permission-configuration).

## Вибір режиму

| Мета                                          | Налаштування                                                |
| --------------------------------------------- | ----------------------------------------------------------- |
| Повністю заблокувати команди хоста            | `tools.exec.mode: "deny"`                                   |
| Дозволити запуск лише відомих безпечних команд | `tools.exec.mode: "allowlist"`                              |
| Питати людину про кожну нову форму команди    | `tools.exec.mode: "ask"`                                    |
| Використовувати автоматичну перевірку Codex/OpenClaw перед людьми | `tools.exec.mode: "auto"`                                   |
| Повністю пропустити схвалення exec на хості   | `tools.exec.mode: "full"` плюс відповідний файл схвалень хоста |
| Дозволити неінтерактивним сеансам ACPX запис/exec | `plugins.entries.acpx.config.permissionMode: "approve-all"` |

Якщо команда все ще показує запит або завершується помилкою після зміни режиму, перевірте обидва рівні:

```bash
openclaw approvals get
openclaw exec-policy show
```

Виконання команд хоста використовує суворіший результат із конфігурації OpenClaw і локального для хоста файлу схвалень. Дозволи обвʼязки ACPX не послаблюють схвалення exec на хості, а схвалення exec на хості не послаблюють запити обвʼязки ACPX.

## Повʼязане

- [Схвалення exec](/uk/tools/exec-approvals)
- [Схвалення exec - розширені](/uk/tools/exec-approvals-advanced)
- [Обвʼязка Codex](/uk/plugins/codex-harness)
- [Налаштування агентів ACP](/uk/tools/acp-agents-setup#permission-configuration)