Claude Code Tools 研究系列（八）—— Bash：能力最强也最危险的工具
内容提要
Bash是Claude Code中最强大也最危险的命令执行工具，能执行任意shell命令，覆盖测试、git操作、包管理等场景。其设计通过工具描述中的大量约束（如优先专用工具、git安全协议、HEREDOC规范）来限制风险，但纯prompt约束面对训练数据惯性仍有漏洞，需runtime硬阻断才能真正约束。Bash是兜底工具，非首选。
延伸解读
为什么Bash的约束靠“劝”而不是“拦”
Bash的入参是一根字符串，里面能塞任何命令，schema校验无法穷举危险命令，所以约束只能靠工具描述里的自然语言“劝”。相比之下，Edit要求Read先行、Read强制绝对路径等是runtime硬阻断，AI想违反都违反不了。这种“靠自律”的约束面对训练数据惯性，每次调用都可能漏，正如系列作者自己写文章时也用bash grep而非Grep工具。
git安全协议背后的真实事故
工具描述中git安全协议每条都对应真实事故：--amend在pre-commit hook失败后会修改上一个commit，可能毁掉之前的工作；git add -A可能把.env、credentials等敏感文件推上去；NEVER commit unless explicitly asked防止AI太主动抢戏。这些规则不是抽象原则，而是从血泪教训中总结的因果链，写进prompt让每次调用都符合协作规范。
description字段：让工具调用可读的关键
description不是给Bash用的，而是给用户和Claude未来的自己看的。tool call log里显示“Show working tree status”而不是“git status”，用户才能看懂意图。工具描述还规定了写法：简单命令5-10字，复杂命令加上下文，且禁用“complex”“risk”等词。这实现了“命令给机器执行，意图给人审阅”的双通道表达，让操作清单可读可审。
从“现场翻车”看prompt约束的局限
系列作者在写Monitor篇时，让Claude用bash grep而不是Grep工具，三重讽刺：Bash篇明确列出grep应使用Grep工具，Grep+Glob篇整篇讲专用工具避开Bash陷阱，系列已写到第13篇。原因包括训练数据惯性、短命令的顺手错觉、shell escape陷阱。这证明纯prompt约束面对AI的肌肉记忆不够用，只有runtime硬阻断才能真正override。
Q&A
Claude Code 中的 Bash 工具是什么？它有什么作用？
Bash 是 Claude Code 内置的命令执行工具，可以执行任意 shell 命令，返回 stdout、stderr 和退出码。它的作用是作为能力兜底，覆盖测试、git 操作、包管理等无法通过文件操作完成的任务，使 Claude 能真正推进工程任务。
为什么说 Bash 是 Claude Code 中最危险的工具？
因为 Bash 能执行任意 shell 命令，能力无限，等同于把整个操作系统的 shell 交给 Claude。如果使用不当，可能造成破坏性操作，如误删文件、强制推送、跳过 hook 等，风险极高。
Bash 工具在哪些场景下应该使用？哪些场景应该避免使用？
应该使用 Bash 的场景包括：跑测试、构建、lint，git 操作，GitHub CLI，包管理，文件系统操作，网络操作，进程管理，以及专用工具不覆盖的复杂管道。避免使用 Bash 的场景包括：读取文件（用 Read）、编辑文件（用 Edit）、写入文件（用 Write）、搜索（用 Grep）、列出文件（用 Glob）、输出文字（直接说）。
Bash 工具的工具级描述中包含了哪些安全约束？
工具级描述包含：优先使用专用工具的反例白名单（如避免 cat、sed、echo 等）；通用注意事项（如路径加引号、避免 cd、避免 sleep、find 从当前目录开始等）；git 安全协议（如禁止更新 git config、禁止破坏性命令、禁止跳过 hooks、禁止 amend 等）；PR 创建流程（如分析所有 commit、标题短于 70 字符、返回 PR URL）；以及 HEREDOC 传 commit message 的规范。
Bash 工具中的 dangerouslyDisableSandbox 字段有什么作用？为什么这样命名？
该字段用于关闭 Bash 的沙盒，允许执行可能被拦截的系统级操作。命名为 dangerouslyDisableSandbox 是为了在命名层面提醒 Claude 谨慎使用，每次填写时都要思考是否真的需要关闭沙盒，起到劝退作用。
为什么说 Bash 是兜底工具而非首选？
因为 Bash 虽然能力强大，但缺乏专用工具的优点：专用工具具有 runtime 追踪、输出规范化、语义约束和 prompt 约束，而 Bash 没有这些。因此，当有专用工具能完成某件事时，应优先使用专用工具，Bash 只作为逃生舱，用于专用工具无法覆盖的场景。
Bash 工具与 Edit、Read 等工具在约束方式上有什么不同？
Edit、Read 等工具通过 runtime 硬阻断来约束，例如 Edit 要求 Read 先行、Read 强制绝对路径，违反会报错。而 Bash 的约束主要依赖工具描述中的自然语言提示，没有硬性阻断，因此面对训练数据惯性时容易失效，需要 runtime 硬约束才能真正限制。
Bash 工具中的 run_in_background 字段有什么作用？
run_in_background 字段用于将长时间运行的命令（如 dev server、长测试）放入后台执行，命令立即返回一个任务 ID，Claude 可以继续对话而不阻塞，完成时通过通知获取结果，并可用 BashOutput 或 TaskStop 检索输出或终止任务。
