Fähigkeiten Hook Development
📦

Hook Development

v0.1.0 Inhaltsrevision r1 Hohes Risiko ⚙️ Externe Befehle📁 Dateisystemzugriff🔑 Umgebungsvariablen🌐 Netzwerkzugriff

Claude Code Hooks erstellen

Hook-Workflows benötigen sichere Validierung, klare Ereignisse und wiederholbare Tests. Diese Skill bietet Muster, Skripte und Migrationsanleitungen für Claude Code-Hook-Konfigurationen.

Unterstützt: Claude Codex Code(CC)
⚠️ 38 Schlecht

Mit meinem Agent installieren

Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.

Agent-Anfrage
Review the Skillstore skill "Hook Development" from https://skillstore.io/skills/davila7-hook-development.md and its manifest at https://skillstore.io/api/skills/davila7-hook-development/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.

Agent-lesbare Ressourcen

Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.

Markdown-Detailseite GET /skills/davila7-hook-development.md Signiertes manifest GET /api/skills/davila7-hook-development/manifest Signiertes lockfile GET /api/skills/davila7-hook-development/lockfile

Testen

„Hook Development“ wird verwendet. Erstelle einen Hook, der riskante Dateischreibvorgänge blockiert.

Erwartetes Ergebnis:

  • Ein PreToolUse-Hook-Plan für Write- und Edit-Operationen.
  • Sicherheitskriterien für Systempfade, Traversal und Zugangsdaten-Dateien.
  • Erwartetes allow-, ask- und deny-Verhalten für häufige Fälle.

„Hook Development“ wird verwendet. Migriere meinen Bash-Validierungshook zu einem Prompt-Hook.

Erwartetes Ergebnis:

  • Ein Prompt-Hook-Design, das das ursprüngliche Richtlinienziel beibehält.
  • Ein Vergleich entfernter Shell-Grenzfälle und neuer modellabhängiger Risiken.
  • Eine Rollout-Checkliste für Tests vor der Aktivierung des Hooks.

„Hook Development“ wird verwendet. Teste einen Hook, bevor ein Plugin veröffentlicht wird.

Erwartetes Ergebnis:

  • Eine Validierungssequenz für Hook-Konfiguration, Beispieleingabe und erwartetes Exit-Verhalten.
  • Eine Liste von Timeout-, ungültigen Eingabe- und fehlerhaften Ausgabe-Fällen, die getestet werden sollten.
  • Eine knappe Zusammenfassung der Bereitstellungsbereitschaft.

Sicherheitsaudit

Hohes Risiko
v10 • 19.7.2026 Versionsbericht öffnen

Of 308 static alerts, most are false positives caused by Markdown formatting, defensive checks, and documented shell examples. Confirmed risks include shell injection, unsafe temporary files, raw SQL construction, and unredacted audit logging. Recommended prompt and command validators also contain bypass and injection weaknesses.

11
Gescannte Dateien
2,781
Analysierte Zeilen
17
Prüfelemente
0
Falschmeldungen ignoriert

Bestätigte Sicherheitsbedenken (6)

Hoch
SKILL.md:29references/migration.md:66
Prompt Decisions Consume Untrusted Instructions
Recommended prompt hooks interpolate tool input directly without delimiters or an explicit untrusted-data rule. Crafted commands can manipulate approval decisions.
Both recommended templates place attacker-controlled command text directly inside decision prompts. No injection-resistant framing or deterministic fallback is shown.
Hoch
examples/validate-bash.sh:24-43
Destructive Command Denylist Is Bypassable
The Bash validator denies only exact substrings and approves every unmatched command. Equivalent destructive syntax or alternate tools bypass the hook.
The code returns success after several literal substring checks. Variants such as separated flags are not covered and reach the approval path.
Hoch
examples/validate-write.sh:19-38
Protected Path Checks Ignore Symlinks
The write validator checks raw path strings without canonicalization, then approves other paths. Symlinked paths can reach protected or sensitive files.
The validator performs only substring and prefix comparisons. It never resolves the target or verifies that the canonical path remains within an allowed root.
Hoch
references/advanced.md:294-295
Raw Hook Input Is Embedded in SQL
The database logging example places raw hook input inside a SQL statement. Crafted input can alter the query or expose database data.
The psql command inserts the complete input inside a single-quoted SQL literal. No parameter binding or SQL escaping is present.
Hoch
references/advanced.md:353-358
Audit Log Stores Complete Hook Payloads
The audit example writes complete hook input to a persistent home-directory log. Tool arguments may contain source code, credentials, or user prompts.
The input is captured from stdin and appended without filtering or redaction. The documented log path is persistent and no restrictive permissions are set.
Mittel
examples/validate-write.sh:19-34
Hook Output Allows JSON Injection
The write validator concatenates an unescaped tool path into JSON output. Quotes or control characters can corrupt or alter the decision response.
file_path comes from tool input and is inserted directly between JSON quotes. No JSON encoder escapes attacker-controlled characters.
Elemente der Fähigkeitsprüfung (17)

Dies sind echte lokale Fähigkeiten, die für diese Fähigkeit erwartet werden können; daher müssen sie überprüft werden, werden jedoch nicht als bestätigtes bösartiges Verhalten gezählt.

Hoch
references/advanced.md:358
Hidden file in home directory
echo "$timestamp | $USER | $tool_name | $input" >> ~/.claude/audit.log
The example persistently appends complete hook input to a hidden file in the user home directory. That payload can contain credentials, prompts, or source data.
Hoch
references/advanced.md:358
Hidden file access
echo "$timestamp | $USER | $tool_name | $input" >> ~/.claude/audit.log
The example writes unredacted hook input into a hidden audit log. The documented access creates a real local disclosure and retention risk.
Hoch
references/advanced.md:413
Temp directory access
export CLAUDE_PROJECT_DIR="/tmp/test-project"
The integration example uses a fixed shared temporary project path and later removes it recursively. Existing data at that path can be modified or deleted.
Hoch
references/advanced.md:294
Database connection strings
psql "$DATABASE_URL" -c "INSERT INTO hook_logs (event, data) VALUES ('PreToolUse', '$input')" \
The example uses DATABASE_URL and inserts raw hook input into a database command. It exposes a connection secret to a fragile logging path with injection risk.
Hoch
scripts/test-hook.sh:190
Shell command substitution
output=$(timeout "$TIMEOUT" bash -c "cat '$TEST_INPUT' | $HOOK_SCRIPT" 2>&1)
The runner interpolates user-supplied hook and input paths into bash -c. Shell metacharacters in either path can execute unintended commands.
Mittel
references/advanced.md:97
Temp directory access
echo "$risk_level" > /tmp/hook-state-$$
The example writes state to a predictable PID-based path in a shared temporary directory. A precreated symlink can redirect or corrupt the write.
Mittel
references/advanced.md:105
Temp directory access
risk_level=$(cat /tmp/hook-state-$$ 2>/dev/null || echo "unknown")
The example reads state from a predictable shared temporary path without ownership checks. Another local process can prepopulate the file and influence hook decisions.
Mittel
references/advanced.md:177
Temp directory access
cache_file="/tmp/hook-cache-$cache_key"
The cache filename is deterministic and placed in a shared temporary directory without secure creation. Local file poisoning or symlink redirection is possible.
Mittel
references/advanced.md:237
Temp directory access
echo "0" > /tmp/test-count-$$
The example creates a predictable PID-based state file in a shared temporary directory. It does not use exclusive creation or verify file ownership.
Mittel
references/advanced.md:238
Temp directory access
echo "0" > /tmp/build-count-$$
The example creates another predictable PID-based state file in a shared temporary directory. A local attacker can redirect the write through a symlink.
Mittel
references/advanced.md:250
Temp directory access
count=$(cat /tmp/test-count-$$ 2>/dev/null || echo "0")
The counter is read from a predictable shared temporary path without ownership or type checks. File poisoning can alter cross-event enforcement.
Mittel
references/advanced.md:251
Temp directory access
echo $((count + 1)) > /tmp/test-count-$$
The counter is written to a predictable shared temporary path without secure creation. Symlink redirection can overwrite an unintended file.
Mittel
references/advanced.md:259
Temp directory access
test_count=$(cat /tmp/test-count-$$ 2>/dev/null || echo "0")
The Stop hook trusts a predictable temporary counter file. Another process can spoof the value and bypass the documented test-enforcement decision.
Mittel
references/advanced.md:323
Temp directory access
rate_file="/tmp/hook-rate-$$"
The rate-limit state uses a predictable shared temporary path. File poisoning or symlink replacement can bypass limits or redirect later writes.
Mittel
references/advanced.md:419
Temp directory access
if [ -f "/tmp/session-initialized" ]; then
The test trusts a fixed marker path in a shared temporary directory. Another process can create that marker and produce a false successful result.
Mittel
scripts/test-hook.sh:171
Temp directory access
export CLAUDE_PROJECT_DIR="${CLAUDE_PROJECT_DIR:-/tmp/test-project}"
The test runner supplies a fixed shared temporary project directory to the executed hook. Tests can unintentionally interact with preexisting files at that path.
Mittel
scripts/test-hook.sh:173
Temp directory access
export CLAUDE_ENV_FILE="${CLAUDE_ENV_FILE:-/tmp/test-env-$$}"
The environment file uses a predictable PID-based path that the child hook writes and the runner later reads and removes. Symlink attacks are possible.

Risikofaktoren

⚙️ Externe Befehle (50)
examples/load-context.sh:1 examples/validate-bash.sh:8 examples/validate-bash.sh:11 examples/validate-bash.sh:1 examples/validate-write.sh:8 examples/validate-write.sh:11 examples/validate-write.sh:1 references/advanced.md:36 references/advanced.md:37 references/advanced.md:63 references/advanced.md:81 references/advanced.md:92 references/advanced.md:93 references/advanced.md:96 references/advanced.md:105 references/advanced.md:125 references/advanced.md:174 references/advanced.md:175 references/advanced.md:176 references/advanced.md:181 references/advanced.md:244 references/advanced.md:245 references/advanced.md:248 references/advanced.md:250 references/advanced.md:251 references/advanced.md:259 references/advanced.md:273 references/advanced.md:274 references/advanced.md:291 references/advanced.md:304 references/advanced.md:305 references/advanced.md:319 references/advanced.md:320 references/advanced.md:324 references/advanced.md:327 references/advanced.md:328 references/advanced.md:335 references/advanced.md:353 references/advanced.md:354 references/advanced.md:355 references/advanced.md:367 references/advanced.md:368 references/advanced.md:388 references/advanced.md:396 references/advanced.md:414 references/advanced.md:462 references/advanced.md:470 references/advanced.md:35 references/advanced.md:55 references/advanced.md:74
📁 Dateisystemzugriff (45)
examples/validate-bash.sh:31 examples/validate-write.sh:26 references/advanced.md:358 references/advanced.md:358 references/advanced.md:105 references/advanced.md:181 references/advanced.md:250 references/advanced.md:259 references/advanced.md:281 references/advanced.md:295 references/advanced.md:97 references/advanced.md:105 references/advanced.md:177 references/advanced.md:237 references/advanced.md:238 references/advanced.md:250 references/advanced.md:251 references/advanced.md:259 references/advanced.md:323 references/advanced.md:413 references/advanced.md:419 references/migration.md:117 references/migration.md:165 references/patterns.md:268 references/patterns.md:306 scripts/README.md:86 scripts/README.md:89 scripts/test-hook.sh:155 scripts/test-hook.sh:227 scripts/test-hook.sh:34 scripts/test-hook.sh:35 scripts/test-hook.sh:40 scripts/test-hook.sh:50 scripts/test-hook.sh:51 scripts/test-hook.sh:63 scripts/test-hook.sh:64 scripts/test-hook.sh:75 scripts/test-hook.sh:76 scripts/test-hook.sh:87 scripts/test-hook.sh:88 scripts/test-hook.sh:171 scripts/test-hook.sh:173 scripts/validate-hook-schema.sh:32 SKILL.md:534 SKILL.md:550
🔑 Umgebungsvariablen (1)
references/advanced.md:294
🌐 Netzwerkzugriff (1)
SKILL.md:693
Geprüft von: codex Audit-Verlauf anzeigen →
Diesen Bericht teilen & zitieren

Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.

Versionsbericht öffnen
Sicherheitsbewertung

Berichtslink kopieren

https://skillstore.io/skills/davila7-hook-development/audits/10?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown-Badge

[![Skillstore security assessment](https://skillstore.io/badges/skills/davila7-hook-development/security.svg)](https://skillstore.io/skills/davila7-hook-development?utm_source=security_passport_badge)

HTML-Badge

<a href="https://skillstore.io/skills/davila7-hook-development?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/davila7-hook-development/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Einbettungskarte

<iframe src="https://skillstore.io/embed/skills/davila7-hook-development.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
Wissenschaftliche Zitate (APA · BibTeX · CFF)

APA-Zitat

davila7. (2026). Hook Development security audit report (audit version 10) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/davila7-hook-development/audits/10

BibTeX-Zitat

@techreport{davila7-davila7-hook-development-2026, author = {davila7}, title = {Hook Development security audit report (audit version 10)}, institution = {Skillstore}, year = {2026}, number = {10}, url = {https://skillstore.io/skills/davila7-hook-development/audits/10}, note = {Author version 0.1.0} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "Hook Development security audit report (audit version 10)" version: "0.1.0" type: report authors: - name: "davila7" date-released: "2026-07-19" url: "https://skillstore.io/skills/davila7-hook-development/audits/10" identifiers: - type: other value: "skillstore:davila7-hook-development:audit:10" description: "Skillstore immutable audit report identifier"

Varianten vergleichen

3 installierbare Varianten

Jeder Autor bleibt ein eigener installierbarer Skill. Die empfohlene Variante wird nach Skillstore-Nachweisen bewertet.

Warum diese Variante zuerst steht

Höhere Skillstore-Nutzung
anthropics Empfohlen

hook-development

Skillstore-Score 38
Evidenzvertrauen Mittel
Skillstore-Nutzung 20
Aktualisiert

2026-09-09

anthropics

anthropics-hook-development

Skillstore-Score 38
Evidenzvertrauen Mittel
Skillstore-Nutzung 16
Aktualisiert

2026-09-09

davila7 Aktuell

davila7-hook-development

Skillstore-Score 38
Evidenzvertrauen Mittel
Skillstore-Nutzung 13
Aktualisiert

2026-09-09

Skillstore-Score

Warum dieser Score Evidenzvertrauen: Mittel
68
Architektur
100
Wartbarkeit
87
Inhalt
70
Gemeinschaft
65
Spezifikationskonformität

Was Sie erstellen können

Safety-Hooks erstellen

Entwirf PreToolUse-Hooks, die Dateischreibvorgänge, Bash-Befehle und sensible Pfade prüfen, bevor Tools ausgeführt werden.

Shell-Hooks migrieren

Wandle fragile Bash-Prüfungen in Prompt-Hooks um, die Kontext und Grenzfälle berücksichtigen können.

Hook-Verhalten testen

Nutze die enthaltenen Validierungs- und Testskripte, um Hook-Konfiguration, Ausgabe, Timeout- und Fehlerverhalten zu prüfen.

Diese Prompts ausprobieren

Einen einfachen Hook erstellen 
Erstelle einen Claude Code PreToolUse-Hook, der Write- und Edit-Operationen validiert. Erkläre den Matcher, den Hook-Typ und die erwartete Entscheidungsausgabe.
Command-Validierung hinzufügen 
Entwirf einen Bash-Command-Validation-Hook für Claude Code. Blockiere destruktive Befehle, frage vor privilegierten Befehlen nach und schließe sichere Timeout-Einstellungen ein.
Zu Prompt-Hooks migrieren 
Überprüfe diese vorhandene Hook-Logik und schlage eine Prompt-Hook-Version vor. Bewahre das Sicherheitsziel und liste Migrationsrisiken auf.
Einen Hook-Testplan erstellen 
Erstelle einen Testplan für ein Claude Code-Hook-Paket. Beziehe Schemavalidierung, Beispieleingaben, erwartete Exits, Timeout-Prüfungen und Fehlerfälle ein.

Bewährte Praktiken

  • Bevorzuge Prompt-Hooks für kontextuelle Sicherheitsentscheidungen und Command-Hooks für kleine deterministische Prüfungen.
  • Setze Shell-Variablen in Anführungszeichen, validiere JSON-Eingaben und lege strikte Timeouts für jeden Command-Hook fest.
  • Teste Hooks vor der Bereitstellung mit repräsentativen allow-, ask-, deny-, Timeout- und fehlerhaften Eingabefällen.

Vermeiden

  • Kopiere keine Beispiele, die rohe Hook-Eingaben ohne Schwärzung oder Zustimmung des Benutzers protokollieren.
  • Erstelle keine Shell-Befehle durch Interpolation nicht vertrauenswürdiger Dateipfade oder Skriptnamen.
  • Verlasse dich bei der Erkennung destruktiver Befehle oder sensibler Dateien nicht nur auf einfache Sperrlisten.

Häufig gestellte Fragen

Was hilft mir diese Skill zu erstellen?
Sie hilft beim Erstellen von Claude Code-Hooks für Validierung, Automatisierung, Sitzungskontext und Abschlussprüfungen.
Konzentriert sie sich auf Prompt-Hooks oder Command-Hooks?
Sie deckt beides ab, empfiehlt aber Prompt-Hooks für kontextbewusste Entscheidungen, wenn sie unterstützt werden.
Kann sie Hook-Konfigurationsdateien validieren?
Ja. Die enthaltenen Anleitungen zur Schemavalidierung prüfen Ereignisse, Matcher, Hook-Typen, Befehle, Prompts und Timeouts.
Kann ich die Beispiele direkt in der Produktion verwenden?
Nein. Prüfe, härte und teste die Beispiele, da mehrere davon Lehrmuster sind und keine produktionsreifen Kontrollen.
Welche Tools werden vom Marketplace-Eintrag referenziert?
Der Eintrag zielt auf die Suche nach Claude, Codex und Claude Code ab, während der technische Inhalt Claude Code-Hooks behandelt.
Was sollte ich testen, bevor ich Hooks aktiviere?
Teste vor der Bereitstellung gültige Eingaben, abgelehnte Operationen, fehlerhaftes JSON, Timeout-Verhalten und Ausgabeformatierung.

Entwicklerdetails

Autor

davila7

Lizenz

MIT

Autorenversion

v0.1.0

Skillstore-Revision

r1

Repository

https://github.com/davila7/claude-code-templates/tree/main/cli-tool/components/skills/development/hook-development

Ref.

dbe0e719813583400773166a0621f8a9b8185c72

Aktualität der Wartung

22.7.2026

Nutzung

9 Downloads · 211 Aufrufe

Dateistruktur

📁 examples/

📄 load-context.sh

📄 validate-bash.sh

📄 validate-write.sh

📁 references/

📄 advanced.md

📄 migration.md

📄 patterns.md

📁 scripts/

📄 hook-linter.sh

📄 README.md

📄 test-hook.sh

📄 validate-hook-schema.sh

📄 SKILL.md

Mehr von davila7

Alle anzeigen

Ähnliche Skills

Alle anzeigen