Auto-review 审批策略

Auto-review 用于 shell、MCP 和 Fetch 调用。它结合 allowlist、沙箱和分类器减少重复批准，但分类器可能误判，不能把它当作硬安全边界。

一次调用如何决策

1. allowlist 中的调用直接运行，位于沙箱之外。
2. 其他可在限制内运行的 shell 命令先进入沙箱。
3. 无法进入沙箱的调用，或因沙箱限制失败后请求重试的命令，交给分类器。
4. 分类器可允许、要求换方法，或由 Agent 决定向用户请求批准。

分类器在 Cursor 后端运行，判断时可在本机发起只读 ReadFile、Grep、Glob、ListDir，例如读取待执行脚本。

指导文件

用户文件 ~/.cursor/permissions.json 与项目 .cursor/permissions.json 会合并。如果团队在 dashboard 定义了全局 Auto-review 配置，则以团队配置为准，忽略这两个本地文件。

{
  "autoRun": {
    "allow_instructions": [],
    "block_instructions": [
      "Every AWS CLI command should go through approval first."
    ]
  }
}

allow_instructions 表达倾向允许的操作，block_instructions 表达倾向阻止并改用其他方法或询问的操作。这些自然语言指导与 CLI 的 Shell/Read/Write 令牌规则不同，不应混填到同一 schema。

分类器不可用

核实日官方列出的分类模型为 Gemini 3.5 Flash Lite，回退为 Claude 4.5 Haiku。企业模型控制适用于两者；官方要求团队保持 Claude 4.5 Haiku 可用，禁用它可能使 Auto-review 变灰，即使 Run Modes 策略允许该模式。

恢复模型权限后应完全退出并重启 Cursor。模型选择和未来变化以官方 Run Modes 页为准；文件与网络的强制限制见沙箱配置。