Claude Code tự gắn session URL vào commit và PR: nên để opt-in

Giới thiệu

Claude Code có thể tự thêm URL của session vào commit message và phần mô tả pull request khi làm việc qua web hoặc Remote Control. Feature request này không phản đối provenance; vấn đề là link được bật mặc định, không có prompt onboarding và thường chỉ được phát hiện sau khi commit đã vào Git history.

Issue được mở với đề xuất biến session URL thành opt-in. Nếu Anthropic vẫn muốn bật mặc định, tác giả đề nghị ít nhất phải hiện lựa chọn rõ ở commit đầu tiên hoặc cung cấp một setting cấp account.

Vấn đề thực tế

Session URL là metadata khác với trailer đồng tác giả. Trailer cho biết tool nào tham gia; URL trỏ tới một phiên làm việc cụ thể. Đối với một số team, đó là audit trail hữu ích để quay lại prompt và context của thay đổi. Với team khác, link làm bẩn lịch sử, lộ một định danh không được review hoặc tạo cảm giác rằng workflow đã công khai thông tin trước khi người dùng đồng ý.

Tác giả nhấn mạnh bốn điểm UX:

• Không có cảnh báo tại bề mặt nơi link được thêm.
• Setting nằm trong file cấu hình, khó thấy với người chỉ dùng web.
• Home config không tồn tại lâu dài trong container mới của web session.
• Yêu cầu trong conversation có thể không thắng instruction của harness lúc tạo commit.

Vì vậy, câu hỏi không chỉ là “có tắt được không”, mà là “người dùng có biết để quyết định trước khi push không”.

Cách tắt session URL

Issue và phần thảo luận chỉ ra cấu hình hiện tại:

{
  "attribution": {
    "commit": "",
    "pr": "",
    "sessionUrl": false
  }
}

Nếu team vẫn muốn giữ trailer đồng tác giả, có thể chỉ đặt sessionUrl thành false và giữ các trường attribution khác theo policy riêng. Trong môi trường web, project-level .claude/settings.json là nơi có thể commit cùng repo, nhưng điều đó phải lặp lại cho từng repository mới nếu chưa có setting cấp account.

Một biến môi trường cũ cũng được nhắc đến trong thảo luận, nhưng cấu hình attribution có tài liệu là lựa chọn rõ ràng hơn vì thể hiện intent ngay trong project policy.

Vì sao audit trail vẫn có giá trị

Một số người dùng phản đối việc tắt mặc định. Họ dùng session link để debug commit cũ, xem lại context và xác định model hoặc agent đã tham gia. Lập luận này hợp lý: provenance tốt có thể rút ngắn điều tra khi diff không giải thích được quyết định.

Tuy nhiên, audit trail chỉ đáng tin khi team biết nó tồn tại, hiểu quyền truy cập của URL và đồng ý về retention. Một link tự chèn không thay thế policy. Team cũng không nên coi session transcript là bằng chứng duy nhất; commit, test, review comment và log CI vẫn phải đủ để đánh giá thay đổi.

Ý nghĩa với Dev

Trước khi cho coding agent tự commit hoặc mở PR:

• Kiểm tra template commit và PR có thêm trailer hoặc URL nào.
• Quyết định provenance nào là bắt buộc, tùy chọn hoặc bị cấm.
• Đặt lựa chọn trong repository policy để web session mới không quay về default ngoài ý muốn.
• Review toàn bộ commit message và PR body trước khi push.
• Xác nhận ai có thể mở session URL và transcript được giữ bao lâu.
• Không dựa vào prompt trong conversation để cưỡng chế metadata; dùng config hoặc hook có test.

Mấu chốt không phải chọn giữa minh bạch và privacy. Team có thể giữ provenance mà vẫn yêu cầu consent, scope và retention rõ ràng.