前端达人-CSDN博客

原创第 3 篇：规则分层——用 docs/ 文档体系实现渐进披露

不是因为它"叛逆"，而是因为——回忆第 1 篇讲的"指令预算"概念——当信息量超过阈值后，Claude 对所有规则的遵守力度都会均匀下降。📌 本篇核心目标：学会把"一个膨胀的 CLAUDE.md"拆解为"一个精简的主文件 + 一套专项文档"，掌握 6 份 docs/ 文档各自的职责边界，以及如何让 Claude 按需加载而非全量灌入。它管的是内容的"形式规范"——不是内容写什么（那是编辑的事），而是内容的文件结构、命名方式、字段规则、分类标签使用规则。它先给你一个导航，你根据当前任务找到对应的文档。

2026-03-19 22:22:08 371

原创第 2 篇：从零搭建一份内容型知识库项目的 CLAUDE.md 实战编写

自动生成的内容往往偏冗余。而且它几乎不可能自动识别内容型项目的特殊规则——比如 frontmatter 约束、slug 规则、分类体系的设计逻辑。Claude 会扫描你的项目——看 package.json、tsconfig、目录结构、现有文档——然后自动生成一份 CLAUDE.md 初稿。这是 CLAUDE.md 的第一段，Claude 进入项目后最先看到的内容。最好的 CLAUDE.md 不是一次写完的，而是在真实使用中逐步长出来的。：对项目很熟悉的人、想完全掌控内容的人、不想引入自动生成冗余的人。

2026-03-18 21:46:00 250

原创第 1 篇：重新理解 CLAUDE.md——它不是文档，而是项目协作的配置中枢

最糟的是——有时候你忘了交代某个关键约束（比如"slug 不能改"），Claude 就真的把 slug 改了，导致页面 URL 断裂、搜索索引失效、内链全部 404。📌 本篇核心认知：CLAUDE.md 不是给人看的说明文档，而是给 Claude 用的项目级配置文件。它假设读者是一个新加入项目的人类开发者，需要了解项目背景、怎么安装、怎么运行、架构是什么样。大多数开发者第一次听到 CLAUDE.md，会本能地把它和 README.md 归为一类——"不就是个项目说明文件嘛"。你是不是也在重复做这件事？

2026-03-17 22:56:07 320

原创《CLAUDE.md 与内容型知识库项目协作实战手册》介绍

你正在用 Claude Code 做一个内容型项目——可能是技术文档站、知识库、FAQ 系统、Markdown 驱动的内容网站，或者任何以"内容文件"为核心资产的项目。一篇 Markdown 文件看起来只是文本，但它实际上同时是详情页的数据源、列表页的条目、搜索索引的输入、分类聚合的单元、路由系统的映射、SEO 的元数据来源。它教你从项目认知、结构设计、内容规范、数据治理、验证策略到自动化升级，完整地搭建一套让 Claude 在内容项目中"少犯错、更稳定、可维护"的规则系统。

2026-03-17 22:56:07 323

原创 CSRF 不是漏洞，是浏览器的“特性“——从 Cookie 自动提交说起的安全困局

OAuth 的一个常见流程是：用户在第三方登录后，服务器向你的回调 URL 发起 POST 请求，带上授权码。很多人把 CSRF（跨站请求伪造）当成一种漏洞来对待，但实际上它更像是浏览器设计中的一个"困局"——一个为了用户体验而埋下的安全地雷。定期审查自己的应用是否有 XSS 漏洞（因为 XSS 会破坏 Token 防护），是否正确地实现了认证逻辑，是否有其他的状态改变操作被遗漏了。不是服务器的认证有问题，也不是用户密码被破解，而是浏览器在跨域请求中自动提交 Cookie 这个"特性"，被恶意利用了。

2026-03-14 22:38:40 593

原创 CSRF 不是漏洞，是浏览器的“特性“——从 Cookie 自动提交说起的安全困局

OAuth 的一个常见流程是：用户在第三方登录后，服务器向你的回调 URL 发起 POST 请求，带上授权码。很多人把 CSRF（跨站请求伪造）当成一种漏洞来对待，但实际上它更像是浏览器设计中的一个"困局"——一个为了用户体验而埋下的安全地雷。定期审查自己的应用是否有 XSS 漏洞（因为 XSS 会破坏 Token 防护），是否正确地实现了认证逻辑，是否有其他的状态改变操作被遗漏了。不是服务器的认证有问题，也不是用户密码被破解，而是浏览器在跨域请求中自动提交 Cookie 这个"特性"，被恶意利用了。

2026-03-14 22:38:40 570

原创 CSRF 不是漏洞，是浏览器的“特性“——从 Cookie 自动提交说起的安全困局

OAuth 的一个常见流程是：用户在第三方登录后，服务器向你的回调 URL 发起 POST 请求，带上授权码。很多人把 CSRF（跨站请求伪造）当成一种漏洞来对待，但实际上它更像是浏览器设计中的一个"困局"——一个为了用户体验而埋下的安全地雷。定期审查自己的应用是否有 XSS 漏洞（因为 XSS 会破坏 Token 防护），是否正确地实现了认证逻辑，是否有其他的状态改变操作被遗漏了。不是服务器的认证有问题，也不是用户密码被破解，而是浏览器在跨域请求中自动提交 Cookie 这个"特性"，被恶意利用了。

2026-03-14 22:38:40 512

原创 CSRF 不是漏洞，是浏览器的“特性“——从 Cookie 自动提交说起的安全困局

OAuth 的一个常见流程是：用户在第三方登录后，服务器向你的回调 URL 发起 POST 请求，带上授权码。很多人把 CSRF（跨站请求伪造）当成一种漏洞来对待，但实际上它更像是浏览器设计中的一个"困局"——一个为了用户体验而埋下的安全地雷。定期审查自己的应用是否有 XSS 漏洞（因为 XSS 会破坏 Token 防护），是否正确地实现了认证逻辑，是否有其他的状态改变操作被遗漏了。不是服务器的认证有问题，也不是用户密码被破解，而是浏览器在跨域请求中自动提交 Cookie 这个"特性"，被恶意利用了。

2026-03-14 22:38:40 481

原创 CSRF 不是漏洞，是浏览器的“特性“——从 Cookie 自动提交说起的安全困局

OAuth 的一个常见流程是：用户在第三方登录后，服务器向你的回调 URL 发起 POST 请求，带上授权码。很多人把 CSRF（跨站请求伪造）当成一种漏洞来对待，但实际上它更像是浏览器设计中的一个"困局"——一个为了用户体验而埋下的安全地雷。定期审查自己的应用是否有 XSS 漏洞（因为 XSS 会破坏 Token 防护），是否正确地实现了认证逻辑，是否有其他的状态改变操作被遗漏了。不是服务器的认证有问题，也不是用户密码被破解，而是浏览器在跨域请求中自动提交 Cookie 这个"特性"，被恶意利用了。

2026-03-14 22:38:40 469

原创 CSRF 不是漏洞，是浏览器的“特性“——从 Cookie 自动提交说起的安全困局

OAuth 的一个常见流程是：用户在第三方登录后，服务器向你的回调 URL 发起 POST 请求，带上授权码。很多人把 CSRF（跨站请求伪造）当成一种漏洞来对待，但实际上它更像是浏览器设计中的一个"困局"——一个为了用户体验而埋下的安全地雷。定期审查自己的应用是否有 XSS 漏洞（因为 XSS 会破坏 Token 防护），是否正确地实现了认证逻辑，是否有其他的状态改变操作被遗漏了。不是服务器的认证有问题，也不是用户密码被破解，而是浏览器在跨域请求中自动提交 Cookie 这个"特性"，被恶意利用了。

2026-03-14 22:38:40 220

原创 Claude Code 番外篇：内置 `/loop` 全解，cron 调度 + 自然语言，自动监控只需一行

想要「机器重启也能跑」的持久任务，需要用 Desktop 里的 Scheduled Tasks 功能，那个会在后台独立运行。但这个组合让原来需要「会写 shell 脚本 + 会 cron 语法 + 自己处理结果解析」的事情，变成了「说一句话」。你描述任务 + 给一个时间间隔，Claude 自动把它转成后台调度，然后每隔指定时间就执行一次，并把结果汇报给你。从这一刻起，每 2 分钟，Claude 就会自动跑一次构建并告诉你结果。关键点：定时任务「插队」在你的两次对话之间，不会打断你当前的操作。

2026-03-12 21:00:16 397

原创 Claude Code 通关手册（终篇）：AI 编程工具的未来，以及你现在该做的 3 件事

过去 9 篇文章，你从一个 Claude Code 新手成长为一个能配子代理、装 MCP、写 Hook、用 SDK 编程、搭 GitHub Actions 的"Claude Code 架构师"。你配好的 CLAUDE.md、子代理、Skills、Hooks——这些都是你个人的"武器库"。项目根目录的 CLAUDE.md 写通用规范（技术栈、代码风格、Git 规范），子目录的 CLAUDE.md 写模块级规范（API 路由的安全要求、组件库的设计原则）。，就是把团队的 AI 能力标准化了。

2026-03-05 20:24:11 278

原创 ClaudeCode通关手册（九）：检查点 + 沙箱 + GitHub Actions，自动化

没有沙箱时，权限系统的 deny 规则只对 Claude 的内置工具生效——如果 Claude 通过 bash 命令访问文件，deny 规则管不到。，检查点是你的"后悔药"——Claude 每次编辑前自动存档，Esc×2 秒回退。你有没有过这种经历——Claude 要执行一个 npm 命令，弹出权限确认，你看了一眼点"允许"。这篇讲完，你的 Claude Code 自动化体系就完整了。，GitHub Actions 让 Claude 住进你的 CI/CD——每次 PR 自动审查，@claude 随时交互。

2026-03-04 21:02:57 292

原创 Claude Code 通关手册（八）：你还在跟 AI 聊天？高手早就用代码驱动了

它内部运行着一个完整的 Agent 循环——Claude 会自动调用工具（读文件、执行命令、搜索代码），观察结果，决定下一步，直到任务完成。你可以构建自己的 AI 开发工具——文档生成器、代码质量仪表盘、自动化审查系统——Claude Code 变成了你工具箱里的一个可编程组件。到今天为止，你跟 Claude Code 的交互方式一直是"对话"——你在终端里打字，它回答。——只给了只读权限。批量脚本里绝对不要给写权限，万一 Claude 理解错了意图自动改了你的代码，100 个文件全改错，你哭都来不及。

2026-03-03 20:32:37 380

原创 Claude Code 通关手册（七）：打造 AI 自动化流水线，Hooks、Skills、Plugins 实战

现在当你让 Claude "写一个 ArticleCard 组件"时，它会自动匹配这个 Skill 的描述（"编写 React 组件"），加载完整规范，然后按照你定义的标准来写代码。= 一键分发的工具箱。：从此 Claude 写的每一行代码都自动遵循你的 Prettier 配置，不用你在 CLAUDE.md 里写"请遵循代码格式"，也不用你手动跑。你在 CLAUDE.md 里写"每次修改文件后请跑 lint"，这是一个"请求"——Claude 可能执行，也可能忘了。你忘了说"跑一下 lint"，它就不跑。

2026-02-28 21:03:49 488

原创 Claude Code 通关手册（六）：MCP 协议完全指南，Claude Code 最被低估的能力

Claude Code 作为 MCP 客户端，通过安装不同的 MCP Server 获得不同的能力——GitHub 操作、文档查询、数据库访问等。比如你问它"Next.js 15 的 Server Actions 怎么写"，如果 Next.js 15 是在训练数据截止之后才发布的，Claude 只能靠猜——很可能给你一个旧版本的语法。它能连上你的数据库、你的项目管理工具、你的 Slack。GitHub MCP 是使用频率最高的 MCP Server，也是 GitHub 官方维护的。你们公司的内部文档系统？

2026-02-27 20:28:19 279