别再盲目上手！你不是在用 Claude Code，是把代码权限全盘交出

社区里最常见的误会，是把 Claude Code 当成「又一个 AI 补全」——装 CLI、绑 API、能写函数就行。这和把 self-hosted runner 当成「不排队的 macos-latest」是同一类错觉：你只看到了速度，没看到边界。

Claude Code 的真实身份是终端里的自主 Agent：它不只建议代码，还能执行 shell、改多文件、读环境变量、调 MCP 工具、循环跑测试直到绿。一旦默认信任它跑在你的主力仓库上，你交出的不是「多一个插件」，而是一整套代码与执行权限。

本篇是 Cloud Mac AI Stack · L3 决策首讲（L3-Q01）：在 L0 底座、L1 Fact 层（建议 L1 ①②③ 读完）之后，回答什么时候才该让 Agent 正式接入开发流程。L3 连载表见 § L3 专题；纵向回 L0、横向接 L4–L5 见 § Stack 衔接。工作站实测（L3 ③）与 vs Cursor（L3 ②）分工不同——本篇只管决策与权限。

你交出的到底是什么：一张权限地图

很多人只盯着「模型聪不聪明」，却忽略了 Agent 在磁盘与进程上能做什么。下面这张表可按团队 onboarding 逐项对照——六类权限，接入前建议逐项打勾。

所以问题从来不是「要不要用 AI 写代码」，而是：你敢不敢把上表六行，默认交给一个半自主进程？ 若答案犹豫，就不该「全员默认装 Claude Code」，而该走后面的分阶段接入。

它不是 Copilot，也不是 IDE 插件

副驾（Copilot / Cursor Tab）：你在编辑器里主驾，AI 补全或改当前文件，改动粒度小、反馈快。代驾（Claude Code Agent）：你描述目标，Agent 自己规划步骤、开 shell、改多文件、失败重试——你在审结果，不在握方向盘。

这不是谁更好的问题（详见 Claude Code vs Cursor），而是任务类型的问题：日常补全用 IDE；跨模块迁移、大面积测试–修复、委托 GitHub Actions 改 CI，才轮到 Agent。把 Agent 当 Copilot 用，往往又慢又难审；把 Copilot 当 Agent 用，又解决不了「47 files changed」级委托。

盲目上手 vs 正式接入 · 对照

「盲目上手」在团队里通常长这样：负责人自己用得爽，就直接给全员开 Max 订阅、主力仓库随便挂 CLI。正式接入则是把 Agent 写进工程规范：边界、审计、与 CI 分工。

三道门禁：接入前必须满足

下面三道门，建议当作正式接入的最低条件——不是追求完美，而是避免「权限全盘交出却零审计」。

门禁 ① · 磁盘与 CI 边界（L1）

Agent 与 GitHub Runner 是否共用不可清理的全局目录？生产签名、.env、宽口径缓存是否与 Agent 会话共享？若 L1 ③ 一 Job 一 Workspace 还没做，先补 Fact 层，再开 Diff 层全开（L1 连载见 L1 专题）。

门禁 ② · 工具与密钥边界（L4）

MCP 是否「能连就连」？Agent 用的 PAT 是否与 CI、个人 GitHub 共用？正式接入要求：分 token、分 scope、可轮换，并有一份团队可读的 L4 MCP 安装与 最小权限清单。

门禁 ③ · 人与流程边界（团队）

谁可以对 Agent 的产出直接 merge？大仓库是否配 L4 CodeGraph 或等价机制，降低「漏改文件」？若答案是「谁快谁 merge」，Agent 只会放大已有流程债。

什么时候该正式接入 · 什么时候先别

Stack 里 L3 管什么：Diff，不是 Fact

系列 Slogan（贯穿 L1–L3）：Claude Code 生产 Diff，GitHub Runner 生产 Fact。 L3 决策首讲回答的是：你敢不敢、以及何时把 Diff 生产权交给 Agent。Fact（CI 绿不绿、签名过不过）仍应在隔离的 Runner 上发生——不是 Agent 说「测过了」就等价于发布。

L2 Inference：Ollama 可草稿、可离线；L3 Claude Code 是委托执行与 Diff 生产——同机可共存，权限应分开。L4 Context：MCP Hub 与 最小权限 管工具边界。L5 Workflow：OpenHands 偏编排；Claude Code 偏终端深度委托——接入门禁对两者都适用。

分阶段接入（工作流 30%）

决策讲清之后，落地建议用三阶段——不要第一天就「全员 Max + 生产仓库全开」：

1. 阶段 A · 只读沙箱（1–3 天）：fork 或副本仓库，禁止 push；只观察 Agent 如何拆任务、跑哪些 shell。目的：建立「权限地图」体感。
2. 阶段 B · 受监督写权限（1–2 周）：主力仓库只读 clone 到独立目录，或分支开发；所有 merge 必须人工 review；MCP 只开必要工具。
3. 阶段 C · 正式 Diff 层：与 L1 Runner 分工固定；CLAUDE.md、token 轮换、workspace 隔离 写入 runbook；可接 L1 ④ OpenClaw 流水线 触发链。

# Agent 接入门禁（阶段 B）
1. 仓库根目录必须有 CLAUDE.md（允许/禁止路径、测试命令）
2. Agent 使用独立 PAT，scope ≤ 当前任务；禁止与 CI secrets 相同
3. 单次委托 >15 文件变更 → 必须第二人 review
4. merge 前必须本地或 Runner 跑通同一套 test 命令
5. 与 Runner 不同 macOS 用户或不同 Cloud Mac 节点（推荐）

硬件与环境选型（买 Mac mini 还是先租 Cloud Mac）不属于本篇——那是 工作站实测 的故事。决策首讲只负责：权限与流程过关了，再谈天天用。

L3 专题连载 · 与其它篇分工

本篇开启 L3（Diff 层） 决策线：先回答「该不该把权限交给 Agent」，再读工具对比与实操。建议按表顺序读；纵向回 L0–L2，横向接 L4–L5 见 § Stack 衔接。

Stack 各层衔接 · 纵向入口

Stack 纵向衔接（每层一篇入口即可；与 L1 连载 对照阅读）：

• L0 · 底座：买 Mac mini 还是云电脑 · 迁云端 AI 工作站
• L1 · Fact：Runner 执行引擎 · CI 排队 · workspace 隔离 · OpenClaw 流水线
• L2 · Inference：Ollama 私有推理层 · 与 Runner 并行排班
• L3 · Diff：① 本篇 · 接入决策 · vs Cursor · 工作站实测
• L4 · Context：MCP 三连通 Hub · 权限最小暴露 · MCP 安装 · CodeGraph 与漏改
• L5 · Workflow：OpenHands Agent 平台

读完 L3 决策首讲后，若门禁已满足，下一篇通常是 L3 ③ 工作站实测（硬件与账单）；若还在选型 IDE，先读 L3 ② vs Cursor。L6 端到端闭环地图排期中。

常见问题

Q：Claude Code 和 Cursor 补全有什么本质区别？
Cursor 是编辑器内副驾，改动通常逐行可见；Claude Code 是终端 Agent，可自主执行 shell、改多文件、跑测试循环，属于把执行权交给半自主进程。

Q：个人开发者也要三道门禁吗？
可以简化，但分 token、分目录、大 diff 必审三条不建议省。私有仓库不等于零风险——误删与密钥泄露照样发生。

Q：正式接入是否等于替代 IDE？
不等于。常见双持：IDE 写功能，Agent 做委托任务。本篇回答「何时把 Agent 写进流程」，不回答「何时扔掉 VS Code」。

Q：和 L1 Runner 安全篇什么关系？
L1 ③ workspace 隔离 管 CI 磁盘边界；本篇（L3 ①）管谁有权在生产仓库里跑 Agent。先 L1，再 L3 全开。Stack 入口见 § Stack 衔接。

Q：试跑用 Cloud Mac 还是本机？
阶段 A/B 用 L0 Cloud Mac 隔离试错往往更便宜——弄乱环境可重置；确认每天都用再买单机。见 L3 ③ 工作站实测。