Навыки claude-code-hooks

📦

claude-code-hooks

Name: claude-code-hooks
Author: 0xDarkMatter

Ревизия содержимого r1 Средний риск ⚙️ Внешние команды📁 Доступ к файловой системе🔑 Переменные окружения🌐 Доступ к сети

Безопасная настройка Claude Code Hooks

Claude Code hooks мощны, но небезопасные hook-скрипты могут приводить к утечке данных или неожиданно блокировать работу. Этот skill объясняет события hook, шаблоны конфигурации и более безопасные шаблоны скриптов для контролируемой автоматизации.

Поддерживает: Claude Codex Code(CC)

📊 67 Адекватно

Maintain this Skill? Claim it 📊 67 Адекватно

Этот навык входит в набор

Установите весь набор одной командой, чтобы получить все навыки для задачи.

Инструменты Claude Code · 3 навыки Установить весь набор

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "claude-code-hooks" from https://skillstore.io/skills/0xdarkmatter-claude-code-hooks.md and its manifest at https://skillstore.io/api/skills/0xdarkmatter-claude-code-hooks/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/0xdarkmatter-claude-code-hooks.md Подписанный manifest GET /api/skills/0xdarkmatter-claude-code-hooks/manifest Подписанный lockfile GET /api/skills/0xdarkmatter-claude-code-hooks/lockfile

Протестировать

Использование «claude-code-hooks». I need to block unsafe Bash commands before they run.

Ожидаемый результат:

Используйте PreToolUse hook с matcher Bash. Ответ определяет опасные шаблоны команд, рекомендует экранировать переменные кавычками и показывает, где добавить timeout.

Использование «claude-code-hooks». How should I log hook activity for debugging?

Ожидаемый результат:

Логируйте только тип события, имя tool, timestamp и request identifier. Избегайте сохранения prompts, содержимого файлов, значений окружения или полных аргументов команд.

Использование «claude-code-hooks». Which hook runs when Claude starts a project session?

Ожидаемый результат:

Используйте SessionStart для startup checks или безопасной загрузки контекста. Скрипт должен быть коротким, ограниченным проектом и устойчивым к отсутствию необязательных файлов.

Аудит безопасности

Средний риск

v8 • 09.07.2026 Открыть версионный отчет

Most static findings are false positives from Markdown examples that document Claude Code hook configuration, shell snippets, and safety deny-lists. The main confirmed issue is that two audit logging examples persist full or raw tool input, which can expose secrets or sensitive project data in logs.

Просканировано файлов

896

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (1)

Средний

references/hook-events.md:80 references/security-patterns.md:220

Audit Logging Can Capture Sensitive Tool Input

The documentation includes audit log examples that write full hook input or raw tool_input fields to local logs. Tool input may include prompts, commands, file paths, file contents, or credentials, so examples should demonstrate sanitization by default.

Both cited examples directly append unsanitized hook input data to audit logs. The security-patterns file warns about full input logging elsewhere, but the audit examples still show potentially sensitive fields being persisted.

Пункты проверки возможностей (2)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Средний

references/hook-events.md:80

Shell command substitution

echo "$TIME | $TOOL | $(echo "$INPUT" | jq -c '.')" >> "$LOG_FILE"

This example writes the full hook input JSON to an audit log. Tool inputs may contain prompts, file contents, commands, or secrets, so logging them verbatim creates a data exposure risk.

Средний

references/security-patterns.md:220

Shell command substitution

echo "{\"timestamp\":\"$TIMESTAMP\",\"tool\":\"$TOOL\",\"input\":$(echo "$INPUT" | jq -c '.tool_inpu

The audit trail example appends raw tool_input into a JSONL log. This can persist sensitive command arguments or file contents unless the hook sanitizes fields first.

Факторы риска

⚙️ Внешние команды (50)

📁 Доступ к файловой системе (28)

🔑 Переменные окружения (2)

references/security-patterns.md:113 references/security-patterns.md:116

🌐 Доступ к сети (2)

SKILL.md:103 SKILL.md:104

Аудитор:: claude Посмотреть историю аудитов →

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/0xdarkmatter-claude-code-hooks/audits/8?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/0xdarkmatter-claude-code-hooks/security.svg)](https://skillstore.io/skills/0xdarkmatter-claude-code-hooks?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/0xdarkmatter-claude-code-hooks?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/0xdarkmatter-claude-code-hooks/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/0xdarkmatter-claude-code-hooks.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

0xDarkMatter. (2026). claude-code-hooks security audit report (audit version 8) [Author version unspecified]. Skillstore. https://skillstore.io/skills/0xdarkmatter-claude-code-hooks/audits/8

Цитата BibTeX

@techreport{0xdarkmatter-0xdarkmatter-claude-code-hooks-2026,
  author = {0xDarkMatter},
  title = {claude-code-hooks security audit report (audit version 8)},
  institution = {Skillstore},
  year = {2026},
  number = {8},
  url = {https://skillstore.io/skills/0xdarkmatter-claude-code-hooks/audits/8},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "claude-code-hooks security audit report (audit version 8)"
version: "unspecified"
type: report
authors:
  - name: "0xDarkMatter"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/0xdarkmatter-claude-code-hooks/audits/8"
identifiers:
  - type: other
    value: "skillstore:0xdarkmatter-claude-code-hooks:audit:8"
    description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Высокий

Архитектура

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Проверка использования tools перед выполнением

Блокируйте запись за пределами проекта или запрещайте опасные shell-команды до того, как Claude Code их выполнит.

Создание локальных audit trails

Записывайте выбранные метаданные hook для соблюдения требований или отладки без сохранения чувствительного ввода tool.

Инициализация проектных сессий

Запускайте проверки настройки или загружайте безопасный контекст проекта при старте сессии Claude Code.

Попробуйте эти промпты

Объяснить основы hook

Объясни события Claude Code hook в этом skill и порекомендуй, какое событие мне следует использовать для проверки записи файлов.

Составить validation hook

Используя этот skill, составь PreToolUse hook, который блокирует запись за пределами CLAUDE_PROJECT_DIR, и объясни, как добавить его в settings.json.

Проверить конфигурацию hook

Проверь мою конфигурацию Claude Code hooks на небезопасные matchers, отсутствующие тайм-ауты и рискованные команды. Предложи более безопасные альтернативы.

Спроектировать безопасный audit workflow

Спроектируй workflow audit logging для PostToolUse, который записывает полезные метаданные, но редактирует prompts, содержимое файлов, secrets и аргументы команд.

Лучшие практики

Используйте пути в пределах проекта и проверяйте разрешенные пути перед действиями с вводом hook.
Добавляйте короткие timeouts к каждому hook, чтобы автоматизация не могла остановить Claude Code.
Редактируйте или исключайте чувствительные поля перед записью любых audit или debug logs.

Избегать

Не логируйте полный ввод hook, потому что он может содержать secrets или приватный код.
Не используйте wildcard matchers без понимания всех tools, которые они включают.
Не подключайте широкие файлы окружения, если каждая переменная не является необходимой.

Часто задаваемые вопросы

Что такое Claude Code hooks?

Это настраиваемые пользователем команды, которые запускаются во время событий Claude Code, например перед использованием tool или после завершения работы tool.

Может ли этот skill установить hooks за меня?

Нет. Он документирует шаблоны конфигурации и примеры. Вы должны самостоятельно создать скрипты и отредактировать settings.

Какие tools он поддерживает?

В отчете указана совместимость с Claude, Codex и Claude Code, при этом содержание сфокусировано на Claude Code settings.

Безопасны ли hook-скрипты по умолчанию?

Нет. Hook-скрипты могут запускать команды, читать файлы и писать логи. Проверяйте каждый скрипт перед включением.

Чего следует избегать при логировании?

Избегайте логирования prompts, содержимого файлов, аргументов команд, значений окружения, API keys, tokens и полного JSON-ввода tool.

Какую зависимость используют примеры?

Во многих shell-примерах для разбора JSON-ввода hook используется jq, поэтому для этих скриптов должен быть установлен jq.