Claude Code で .env を読ませない deny 設定(Read ルールの書き方)

.env には API キーやデータベースのパスワードが入っています。Claude Code はワーキングディレクトリ内のファイル読み取りを確認なしで実行するため、放っておくと .env の中身がそのままモデルへの入力に含まれます。

これを止める確実な方法は、settings.json の permissions.deny に Read ルールを書くことです。deny ルールは allow より先に評価され、権限モードに関係なくブロックされます。

設定例:.env を deny に書く

プロジェクトの .claude/settings.json に次の内容を入れます。公式ドキュメントの「Example settings files」にある、チーム共有設定の例と同じ書き方です。

{
  "permissions": {
    "deny": [
      "Read(./.env)",
      "Read(./.env.*)",
      "Read(./secrets/**)"
    ]
  }
}

Read(./.env.*) は .env.local や .env.production のような派生ファイルを塞ぐためのものです。Read の deny ルールは Edit ツールと Write ツールにも適用されるので、この 3 行で読み取りと書き換えの両方が止まります。ただし NotebookEdit は対象外です。

パターンの書き方で適用範囲が変わる

Read と Edit のルールは gitignore と同じパターン記法を使います。先頭の記号によって、どこを起点に探すかが変わります。

書き方	起点	例
path / ./path	カレントディレクトリ	Read(./.env)
/path	設定ファイルの置き場所	Read(/config/.env)
~/path	ホームディレクトリ	Read(~/.aws/credentials)
//path	ファイルシステムのルート	Read(//etc/shadow)

深さの扱いも書き方で変わります。deny ルールでは次のようになります。

deny ルール	ブロックするもの	ブロックしないもの
Read(./.env)	カレントディレクトリの .env	サブディレクトリの .env
Read(.env) または Read(**/.env)	カレントディレクトリ以下すべての .env	親ディレクトリや別プロジェクトの .env
Read(//**/.env)	ファイルシステム上のすべての .env	なし

モノレポのように packages/api/.env と packages/web/.env が散らばる構成では、Read(./.env) では足りません。Read(.env) と書けば任意の深さに一致します。

deny が効く範囲と効かない範囲

Read と Edit の deny ルールが適用されるのは、次の 3 つです。

1. 組み込みのファイルツール(Read、Edit、Write など)。Grep や Glob、プロンプト内の @file 指定、IDE が共有する開いているファイルの情報にも、可能な範囲で適用されます。
2. Claude Code が認識するファイル操作コマンド(cat、head、tail、sed など)。これらは通常は確認なしで実行されますが、deny ルールがあればブロックされます。
3. Bash のリダイレクト先。> file と < file が対象です。入力側のチェックは Claude Code v2.1.257 以降です。

シンボリックリンクはリンク自体と参照先の両方が照合され、どちらかが一致すればブロックされます。

なお、書き込みが自動承認されない protected paths の一覧に含まれるのは .envrc であって .env ではありません。しかも対象は書き込みだけです。読み取りを止めるには deny ルールを自分で書く必要があります。

設定が効いているか確認する

1. 設定を保存し、Claude Code を起動します。
2. /permissions を実行します。ルールの一覧と、それぞれがどの設定ファイル由来かが表示されます。
3. Claude に .env を読むよう頼みます。File is covered by a Read deny rule in your permission settings というエラーが出れば成功です。

ルールが照合対象にならない書き方の場合は、起動時に ... is not matched by file permission checks という警告が出ます。この警告が出たらパスの記法を見直してください。

allow / ask / deny 全体の設計は親記事の settings.json で permissions を設計する にまとめてあります。コマンド側を止める例は git push --force を禁止する deny 設定、ツールをまたいだ秘密情報の扱いは API キーや秘密情報を読ませないための設定 を参照してください。

まとめ

• .claude/settings.json の permissions.deny に Read(./.env) と Read(./.env.*) を書く
• Read の deny は Edit と Write にも効くが、NotebookEdit は対象外
• Read(./.env) はカレントディレクトリのみ、Read(.env) は任意の深さに一致する
• deny は allow より優先され、bypassPermissions を含むすべてのモードで効く
• スクリプトが内部で開くファイルには効かないため、確実に遮断するならサンドボックスを使う