「Opus 5 自带验证，把兜底提示词全删掉」——这个说法很流行，我照做了，然后用 CLAUDE_CONFIG_DIR 隔离出新旧两份全局配置，同任务同模型跑了 18 次 headless 对照。省 token 是真的：输出 token -21%，耗时 -20% 到 -29%，全部 9 组三次运行无一例外。但被删掉的规则里有两条根本没测出效果，还有一个反例：旧配置最认真的那一次，覆盖面是新配置所有运行的严格超集。这篇写实验怎么搭、数据长什么样，以及为什么「省」和「好」必须分开问。
同一台机器、同一个用户、同一份全局配置，两个 Claude Code 窗口里跑同一个 CLI，一个通一个不通。最像的解释是权限分类器把其中一个拦了——毕竟它确实会拦。但真相在另一层：守护进程的 plist 装好了却没被 launchd 加载，于是所有要连网关的子命令全挂，纯本地的子命令照常输出。这种「一半能跑一半不能」的形状，正是把人骗向权限假设的东西。本文记录完整排查：三个假设怎么被逐个推翻，包括我自己误读日志的那一次。