스킬 Hook Development
📦

Hook Development

v0.1.0 콘텐츠 리비전 r1 높은 위험 ⚙️ 외부 명령어📁 파일 시스템 접근🔑 환경 변수🌐 네트워크 접근

Claude Code Hooks 구축

Hook 워크플로에는 안전한 검증, 명확한 이벤트, 반복 가능한 테스트가 필요합니다. 이 스킬은 Claude Code hook 구성에 대한 패턴, 스크립트, 마이그레이션 지침을 제공합니다.

지원: Claude Codex Code(CC)
Maintain this Skill? Claim it ⚠️ 38 나쁨

내 에이전트로 설치

이 요청을 에이전트에 복사하세요. 공식 Skill 페이지와 매니페스트가 포함되어 있습니다.

에이전트 요청
Review the Skillstore skill "Hook Development" from https://skillstore.io/skills/davila7-hook-development.md and its manifest at https://skillstore.io/api/skills/davila7-hook-development/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

에이전트는 계속해서 계획을 표시하고 보안 정책에서 요구하는 확인을 요청해야 합니다.

에이전트가 읽기 쉬운 리소스

AI 에이전트, 크롤러, 스크립트가 전체 페이지 대신 정리된 컨텍스트만 필요할 때 이 링크를 사용하세요.

Markdown 상세 GET /skills/davila7-hook-development.md 서명된 manifest GET /api/skills/davila7-hook-development/manifest 서명된 lockfile GET /api/skills/davila7-hook-development/lockfile

테스트해 보기

"Hook Development" 사용 중입니다. 위험한 파일 쓰기를 차단하는 hook을 생성하세요.

예상 결과:

  • Write 및 Edit 작업을 위한 PreToolUse hook 계획.
  • 시스템 경로, 경로 순회, 자격 증명 파일에 대한 안전성 기준.
  • 일반적인 사례에 대한 예상 allow, ask, deny 동작.

"Hook Development" 사용 중입니다. 내 Bash 검증 hook을 prompt hook으로 마이그레이션하세요.

예상 결과:

  • 원래 정책 목표를 유지하는 prompt hook 설계.
  • 제거된 shell 엣지 케이스와 새로운 모델 의존 위험의 비교.
  • hook을 활성화하기 전 테스트를 위한 롤아웃 체크리스트.

"Hook Development" 사용 중입니다. 플러그인을 게시하기 전에 hook을 테스트하세요.

예상 결과:

  • hook 구성, 샘플 입력, 예상 종료 동작을 위한 검증 순서.
  • 테스트할 타임아웃, 유효하지 않은 입력, 잘못된 형식의 출력 사례 목록.
  • 간결한 배포 준비 상태 요약.

보안 감사

높은 위험
v10 • 2026. 7. 19. 버전별 보고서 열기

Of 308 static alerts, most are false positives caused by Markdown formatting, defensive checks, and documented shell examples. Confirmed risks include shell injection, unsafe temporary files, raw SQL construction, and unredacted audit logging. Recommended prompt and command validators also contain bypass and injection weaknesses.

11
스캔된 파일
2,781
분석된 줄 수
17
검토 항목
0
오탐 무시됨

확인된 보안 우려 사항 (6)

높음
SKILL.md:29references/migration.md:66
Prompt Decisions Consume Untrusted Instructions
Recommended prompt hooks interpolate tool input directly without delimiters or an explicit untrusted-data rule. Crafted commands can manipulate approval decisions.
Both recommended templates place attacker-controlled command text directly inside decision prompts. No injection-resistant framing or deterministic fallback is shown.
높음
examples/validate-bash.sh:24-43
Destructive Command Denylist Is Bypassable
The Bash validator denies only exact substrings and approves every unmatched command. Equivalent destructive syntax or alternate tools bypass the hook.
The code returns success after several literal substring checks. Variants such as separated flags are not covered and reach the approval path.
높음
examples/validate-write.sh:19-38
Protected Path Checks Ignore Symlinks
The write validator checks raw path strings without canonicalization, then approves other paths. Symlinked paths can reach protected or sensitive files.
The validator performs only substring and prefix comparisons. It never resolves the target or verifies that the canonical path remains within an allowed root.
높음
references/advanced.md:294-295
Raw Hook Input Is Embedded in SQL
The database logging example places raw hook input inside a SQL statement. Crafted input can alter the query or expose database data.
The psql command inserts the complete input inside a single-quoted SQL literal. No parameter binding or SQL escaping is present.
높음
references/advanced.md:353-358
Audit Log Stores Complete Hook Payloads
The audit example writes complete hook input to a persistent home-directory log. Tool arguments may contain source code, credentials, or user prompts.
The input is captured from stdin and appended without filtering or redaction. The documented log path is persistent and no restrictive permissions are set.
중간
examples/validate-write.sh:19-34
Hook Output Allows JSON Injection
The write validator concatenates an unescaped tool path into JSON output. Quotes or control characters can corrupt or alter the decision response.
file_path comes from tool input and is inserted directly between JSON quotes. No JSON encoder escapes attacker-controlled characters.
기능 검토 항목 (17)

이 스킬에 대해 예상될 수 있는 실제 로컬 기능이므로 검토가 필요하지만, 확인된 악의적 동작으로는 집계되지 않습니다.

높음
references/advanced.md:358
Hidden file in home directory
echo "$timestamp | $USER | $tool_name | $input" >> ~/.claude/audit.log
The example persistently appends complete hook input to a hidden file in the user home directory. That payload can contain credentials, prompts, or source data.
높음
references/advanced.md:358
Hidden file access
echo "$timestamp | $USER | $tool_name | $input" >> ~/.claude/audit.log
The example writes unredacted hook input into a hidden audit log. The documented access creates a real local disclosure and retention risk.
높음
references/advanced.md:413
Temp directory access
export CLAUDE_PROJECT_DIR="/tmp/test-project"
The integration example uses a fixed shared temporary project path and later removes it recursively. Existing data at that path can be modified or deleted.
높음
references/advanced.md:294
Database connection strings
psql "$DATABASE_URL" -c "INSERT INTO hook_logs (event, data) VALUES ('PreToolUse', '$input')" \
The example uses DATABASE_URL and inserts raw hook input into a database command. It exposes a connection secret to a fragile logging path with injection risk.
높음
scripts/test-hook.sh:190
Shell command substitution
output=$(timeout "$TIMEOUT" bash -c "cat '$TEST_INPUT' | $HOOK_SCRIPT" 2>&1)
The runner interpolates user-supplied hook and input paths into bash -c. Shell metacharacters in either path can execute unintended commands.
중간
references/advanced.md:97
Temp directory access
echo "$risk_level" > /tmp/hook-state-$$
The example writes state to a predictable PID-based path in a shared temporary directory. A precreated symlink can redirect or corrupt the write.
중간
references/advanced.md:105
Temp directory access
risk_level=$(cat /tmp/hook-state-$$ 2>/dev/null || echo "unknown")
The example reads state from a predictable shared temporary path without ownership checks. Another local process can prepopulate the file and influence hook decisions.
중간
references/advanced.md:177
Temp directory access
cache_file="/tmp/hook-cache-$cache_key"
The cache filename is deterministic and placed in a shared temporary directory without secure creation. Local file poisoning or symlink redirection is possible.
중간
references/advanced.md:237
Temp directory access
echo "0" > /tmp/test-count-$$
The example creates a predictable PID-based state file in a shared temporary directory. It does not use exclusive creation or verify file ownership.
중간
references/advanced.md:238
Temp directory access
echo "0" > /tmp/build-count-$$
The example creates another predictable PID-based state file in a shared temporary directory. A local attacker can redirect the write through a symlink.
중간
references/advanced.md:250
Temp directory access
count=$(cat /tmp/test-count-$$ 2>/dev/null || echo "0")
The counter is read from a predictable shared temporary path without ownership or type checks. File poisoning can alter cross-event enforcement.
중간
references/advanced.md:251
Temp directory access
echo $((count + 1)) > /tmp/test-count-$$
The counter is written to a predictable shared temporary path without secure creation. Symlink redirection can overwrite an unintended file.
중간
references/advanced.md:259
Temp directory access
test_count=$(cat /tmp/test-count-$$ 2>/dev/null || echo "0")
The Stop hook trusts a predictable temporary counter file. Another process can spoof the value and bypass the documented test-enforcement decision.
중간
references/advanced.md:323
Temp directory access
rate_file="/tmp/hook-rate-$$"
The rate-limit state uses a predictable shared temporary path. File poisoning or symlink replacement can bypass limits or redirect later writes.
중간
references/advanced.md:419
Temp directory access
if [ -f "/tmp/session-initialized" ]; then
The test trusts a fixed marker path in a shared temporary directory. Another process can create that marker and produce a false successful result.
중간
scripts/test-hook.sh:171
Temp directory access
export CLAUDE_PROJECT_DIR="${CLAUDE_PROJECT_DIR:-/tmp/test-project}"
The test runner supplies a fixed shared temporary project directory to the executed hook. Tests can unintentionally interact with preexisting files at that path.
중간
scripts/test-hook.sh:173
Temp directory access
export CLAUDE_ENV_FILE="${CLAUDE_ENV_FILE:-/tmp/test-env-$$}"
The environment file uses a predictable PID-based path that the child hook writes and the runner later reads and removes. Symlink attacks are possible.

위험 요인

⚙️ 외부 명령어 (50)
examples/load-context.sh:1 examples/validate-bash.sh:8 examples/validate-bash.sh:11 examples/validate-bash.sh:1 examples/validate-write.sh:8 examples/validate-write.sh:11 examples/validate-write.sh:1 references/advanced.md:36 references/advanced.md:37 references/advanced.md:63 references/advanced.md:81 references/advanced.md:92 references/advanced.md:93 references/advanced.md:96 references/advanced.md:105 references/advanced.md:125 references/advanced.md:174 references/advanced.md:175 references/advanced.md:176 references/advanced.md:181 references/advanced.md:244 references/advanced.md:245 references/advanced.md:248 references/advanced.md:250 references/advanced.md:251 references/advanced.md:259 references/advanced.md:273 references/advanced.md:274 references/advanced.md:291 references/advanced.md:304 references/advanced.md:305 references/advanced.md:319 references/advanced.md:320 references/advanced.md:324 references/advanced.md:327 references/advanced.md:328 references/advanced.md:335 references/advanced.md:353 references/advanced.md:354 references/advanced.md:355 references/advanced.md:367 references/advanced.md:368 references/advanced.md:388 references/advanced.md:396 references/advanced.md:414 references/advanced.md:462 references/advanced.md:470 references/advanced.md:35 references/advanced.md:55 references/advanced.md:74
📁 파일 시스템 접근 (45)
examples/validate-bash.sh:31 examples/validate-write.sh:26 references/advanced.md:358 references/advanced.md:358 references/advanced.md:105 references/advanced.md:181 references/advanced.md:250 references/advanced.md:259 references/advanced.md:281 references/advanced.md:295 references/advanced.md:97 references/advanced.md:105 references/advanced.md:177 references/advanced.md:237 references/advanced.md:238 references/advanced.md:250 references/advanced.md:251 references/advanced.md:259 references/advanced.md:323 references/advanced.md:413 references/advanced.md:419 references/migration.md:117 references/migration.md:165 references/patterns.md:268 references/patterns.md:306 scripts/README.md:86 scripts/README.md:89 scripts/test-hook.sh:155 scripts/test-hook.sh:227 scripts/test-hook.sh:34 scripts/test-hook.sh:35 scripts/test-hook.sh:40 scripts/test-hook.sh:50 scripts/test-hook.sh:51 scripts/test-hook.sh:63 scripts/test-hook.sh:64 scripts/test-hook.sh:75 scripts/test-hook.sh:76 scripts/test-hook.sh:87 scripts/test-hook.sh:88 scripts/test-hook.sh:171 scripts/test-hook.sh:173 scripts/validate-hook-schema.sh:32 SKILL.md:534 SKILL.md:550
🔑 환경 변수 (1)
references/advanced.md:294
🌐 네트워크 접근 (1)
SKILL.md:693
감사자: codex 감사 이력 보기 →
이 보고서 공유 및 인용

버전이 지정된 평가 보고서, 중립 배지, 임베드 카드 및 인용을 공유하세요. Skillstore는 근거를 보고하지만 이 Skill의 안전 여부를 판단하지 않습니다.

버전별 보고서 열기
보안 평가

보고서 링크 복사

https://skillstore.io/skills/davila7-hook-development/audits/10?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 배지

[![Skillstore security assessment](https://skillstore.io/badges/skills/davila7-hook-development/security.svg)](https://skillstore.io/skills/davila7-hook-development?utm_source=security_passport_badge)

HTML 배지

<a href="https://skillstore.io/skills/davila7-hook-development?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/davila7-hook-development/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

임베드 카드

<iframe src="https://skillstore.io/embed/skills/davila7-hook-development.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
학술 인용 (APA · BibTeX · CFF)

APA 인용

davila7. (2026). Hook Development security audit report (audit version 10) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/davila7-hook-development/audits/10

BibTeX 인용

@techreport{davila7-davila7-hook-development-2026, author = {davila7}, title = {Hook Development security audit report (audit version 10)}, institution = {Skillstore}, year = {2026}, number = {10}, url = {https://skillstore.io/skills/davila7-hook-development/audits/10}, note = {Author version 0.1.0} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "Hook Development security audit report (audit version 10)" version: "0.1.0" type: report authors: - name: "davila7" date-released: "2026-07-19" url: "https://skillstore.io/skills/davila7-hook-development/audits/10" identifiers: - type: other value: "skillstore:davila7-hook-development:audit:10" description: "Skillstore immutable audit report identifier"

변형 비교

설치 가능한 변형 3개

각 작성자의 스킬은 별도의 설치 항목으로 유지됩니다. 추천 변형은 Skillstore 근거로 순위가 정해집니다.

이 변형이 1위인 이유

Skillstore 사용량이 더 높음
anthropics 권장

hook-development

Skillstore 점수 38
증거 신뢰도 중간
Skillstore 사용량 25
업데이트됨

2026-09-09

anthropics

anthropics-hook-development

Skillstore 점수 38
증거 신뢰도 중간
Skillstore 사용량 23
업데이트됨

2026-10-24

davila7 현재

davila7-hook-development

Skillstore 점수 38
증거 신뢰도 중간
Skillstore 사용량 17
업데이트됨

2026-09-09

Skillstore 점수

이 점수의 이유 증거 신뢰도: 중간
68
아키텍처
100
유지보수성
87
콘텐츠
70
커뮤니티
65
사양 준수

만들 수 있는 것

Safety Hook 생성

도구가 실행되기 전에 파일 쓰기, Bash 명령, 민감한 경로를 검토하는 PreToolUse hooks를 설계합니다.

Shell Hook 마이그레이션

취약한 Bash 검사를 컨텍스트와 엣지 케이스를 추론할 수 있는 prompt hooks로 변환합니다.

Hook 동작 테스트

포함된 검증 및 테스트 스크립트를 사용하여 hook 구성, 출력, 타임아웃, 실패 동작을 확인합니다.

이 프롬프트를 사용해 보세요

기본 Hook 생성 
Write 및 Edit 작업을 검증하는 Claude Code PreToolUse hook을 생성하세요. 매처, hook 유형, 예상 decision 출력을 설명하세요.
Command 검증 추가 
Claude Code용 Bash 명령 검증 hook을 설계하세요. 파괴적인 명령을 차단하고, 권한이 필요한 명령 전에 확인을 요청하며, 안전한 타임아웃 설정을 포함하세요.
Prompt Hooks로 마이그레이션 
이 기존 hook 로직을 검토하고 prompt hook 버전을 제안하세요. 보안 목표를 유지하고 마이그레이션 위험을 나열하세요.
Hook 테스트 계획 작성 
Claude Code hook 패키지에 대한 테스트 계획을 작성하세요. 스키마 검증, 샘플 입력, 예상 종료, 타임아웃 검사, 실패 사례를 포함하세요.

모범 사례

  • 컨텍스트 기반 안전성 결정에는 prompt hooks를, 작은 결정적 검사에는 command hooks를 선호하세요.
  • 모든 command hook에서 shell 변수를 따옴표로 감싸고, JSON 입력을 검증하며, 엄격한 타임아웃을 설정하세요.
  • 배포 전에 대표적인 allow, ask, deny, 타임아웃, 잘못된 형식의 입력 사례로 hook을 테스트하세요.

피하기

  • 수정 처리나 사용자 동의 없이 원시 hook 입력을 로그로 남기는 예제를 복사하지 마세요.
  • 신뢰할 수 없는 파일 경로나 스크립트 이름을 삽입하여 shell 명령을 만들지 마세요.
  • 파괴적인 명령이나 민감한 파일 감지를 단순한 deny 목록에만 의존하지 마세요.

자주 묻는 질문

이 스킬은 무엇을 빌드하는 데 도움이 되나요?
검증, 자동화, 세션 컨텍스트, 완료 검사를 위한 Claude Code hooks를 빌드하는 데 도움이 됩니다.
prompt hooks에 중점을 두나요, 아니면 command hooks에 중점을 두나요?
둘 다 다루지만, 지원되는 경우 컨텍스트 인식 결정에는 prompt hooks를 권장합니다.
hook 구성 파일을 검증할 수 있나요?
예. 포함된 스키마 검증 지침은 이벤트, 매처, hook 유형, 명령, 프롬프트, 타임아웃을 확인합니다.
예제를 프로덕션에서 바로 사용할 수 있나요?
아니요. 여러 예제는 프로덕션 준비가 된 제어가 아니라 학습용 패턴이므로 검토, 강화, 테스트해야 합니다.
마켓플레이스 목록에서 어떤 도구가 참조되나요?
목록은 Claude, Codex, Claude Code 검색을 대상으로 하며, 기술 콘텐츠는 Claude Code hooks에 관한 것입니다.
hook을 활성화하기 전에 무엇을 테스트해야 하나요?
배포 전에 유효한 입력, 거부된 작업, 잘못된 형식의 JSON, 타임아웃 동작, 출력 형식을 테스트하세요.

개발자 세부 정보

작성자

davila7

라이선스

MIT

작성자 버전

v0.1.0

Skillstore 리비전

r1

리포지토리

https://github.com/davila7/claude-code-templates/tree/main/cli-tool/components/skills/development/hook-development

참조

dbe0e719813583400773166a0621f8a9b8185c72

유지보수 최신성

2026. 7. 22.

사용량

9 다운로드 · 211 조회

파일 구조

📁 examples/

📄 load-context.sh

📄 validate-bash.sh

📄 validate-write.sh

📁 references/

📄 advanced.md

📄 migration.md

📄 patterns.md

📁 scripts/

📄 hook-linter.sh

📄 README.md

📄 test-hook.sh

📄 validate-hook-schema.sh

📄 SKILL.md

davila7의 다른 스킬

전체 보기

관련 스킬

전체 보기