Chặn Claude Code đọc/sửa .env: 2 cách (Permissions vs Hooks)

Claude Code có thể đọc/ghi mọi file trong project — bao gồm .env chứa API keys. Hai cách chặn: deny permissions trong settings.json (đơn giản nhưng đang có bug) và PreToolUse hooks (linh hoạt, enforce thật). Bài này so sánh và đưa cấu hình copy-paste.