{ "id": "safe-reads", "effect": "auto_approve", "match": { "tool": "Read" } }
{ "id": "prod-helm", "effect": "require_approval",
"match": { "tool": "Bash", "pattern": "helm.*(prod)" },
"approvers": 1, "ttlMs": 300000 }
{ "id": "no-db", "effect": "deny",
"match": { "tool": "Bash", "pattern": "psql|mysql" },
"reason": "直接操作 DB 不在授權範圍" }