Claude Code hooks で
防御設計する

brew install jq
mkdir -p .claude/hooks .claude/audit

01 危険 Bash コマンドのブロック

防ぐもの：破壊的コマンド・パイプ経由インストール・権限昇格のうっかり実行

非エンジニア向けに言えば：削除・送信・公開のような戻しにくい操作を、AIに即実行させないルール。

最優先。破壊的削除・curl | bash・sudo を実行前に止める。prompt injection 対策にも事故防止にも効く。

"PreToolUse": [
  {
    "matcher": "Bash",
    "hooks": [
      {
        "type": "command",
        "command": "\"$CLAUDE_PROJECT_DIR\"/.claude/hooks/block-dangerous-bash.sh"
      }
    ]
  }
]

#!/bin/zsh
set -eu

cmd="$(jq -r '.tool_input.command // ""' < /dev/stdin)"

dangerous_patterns=(
  '(^|[[:space:]])sudo([[:space:]]|$)'
  'rm[[:space:]]+-rf[[:space:]]+/'
  'mkfs'
  'shutdown|reboot'
  'curl[^|]*\|[[:space:]]*(sh|bash|zsh)'
  'wget[^|]*\|[[:space:]]*(sh|bash|zsh)'
)

for p in "${dangerous_patterns[@]}"; do
  if [[ "$cmd" =~ $p ]]; then
    echo "Blocked potentially destructive shell command: $cmd" >&2
    exit 2
  fi
done

exit 0

02 .env と秘密鍵ファイルの保護

防ぐもの：組み込み Read/Edit/Write からの秘密ファイル参照・編集

非エンジニア向けに言えば：住所・家計・口座・未公開資料など、AIに渡す前に伏せる情報を決めるルール。

permissions の deny だけで満足しない。Claude の組み込み Read は止まっても Bash は止まらない。permissions で基線を敷きつつ hooks で Read/Edit/Write を止めるのが現実的な最小構成。

"permissions": {
  "deny": [
    "Read(./.env)", "Read(./.env.*)",
    "Read(./secrets/**)",
    "Read(./**/*.pem)", "Read(./**/*.key)"
  ]
},
"hooks": {
  "PreToolUse": [
    {
      "matcher": "Read|Edit|Write",
      "hooks": [{ "type": "command",
        "command": "\"$CLAUDE_PROJECT_DIR\"/.claude/hooks/protect-secret-files.sh" }]
    }
  ]
}

#!/bin/zsh
set -eu

path="$(jq -r '.tool_input.file_path // .tool_input.path // ""' < /dev/stdin)"
[[ -z "$path" ]] && exit 0

case "$path" in
  */.env|*/.env.*|*.pem|*.key|*/secrets/*|*/id_rsa|*/id_ed25519)
    echo "Blocked access to a secret-like file: $path" >&2
    exit 2
    ;;
esac

exit 0

03 外部通信の許可リスト

防ぐもの：WebFetch の想定外ドメイン取得と、代表的な Bash 通信コマンド

非エンジニア向けに言えば：AIに読ませる外部情報を、公式サイト・信頼できる資料・自分で確認したURLに絞るルール。

外部送信は prompt injection の危険が本格化する条件として最重要。Bash の代表的な通信ツールを deny しつつ、WebFetch は allowlist で制御する。完全なネットワーク遮断は sandbox で行う。

"Bash(curl *)", "Bash(wget *)", "Bash(nc *)",
"Bash(ncat *)", "Bash(scp *)", "Bash(rsync *)", "Bash(ssh *)"

#!/bin/zsh
set -eu

input="$(cat)"
tool="$(jq -r '.tool_name // ""' <<<"$input")"
allow_domains=("code.claude.com" "docs.anthropic.com" "github.com")

if [[ "$tool" == "WebFetch" ]]; then
  url="$(jq -r '.tool_input.url // ""' <<<"$input")"
  for d in "${allow_domains[@]}"; do
    if [[ "$url" == *"://$d"* || "$url" == *"://www.$d"* ]]; then
      exit 0
    fi
  done
  echo "WebFetch blocked: domain not in allowlist." >&2
  exit 2
fi

exit 0

04 .claude/settings.json と .mcp.json の変更監査

防ぐもの：設定変更の見落とし。ブロックではなく、後から追える状態を作る

非エンジニア向けに言えば：AI連携・共有範囲・公開設定を変えたときに、あとで見返せる記録を残すルール。

ConfigChange は settings の監査に使えるが、.mcp.json は対象外。settings は ConfigChange、.mcp.json は FileChanged で補うのが実務的。

"ConfigChange": [
  { "hooks": [{ "type": "command",
      "command": "\"$CLAUDE_PROJECT_DIR\"/.claude/hooks/audit-config.sh" }] }
],
"FileChanged": [
  {
    "matcher": ".mcp.json|settings.json|settings.local.json",
    "hooks": [{ "type": "command",
      "command": "\"$CLAUDE_PROJECT_DIR\"/.claude/hooks/audit-config.sh" }]
  }
]

#!/bin/zsh
set -eu

mkdir -p "$CLAUDE_PROJECT_DIR/.claude/audit"
input="$(cat)"
event="$(jq -r '.hook_event_name // ""' <<<"$input")"
timestamp="$(date -u +"%Y-%m-%dT%H:%M:%SZ")"

case "$event" in
  ConfigChange)
    source="$(jq -r '.source // ""' <<<"$input")"
    path="$(jq -r '.file_path // ""' <<<"$input")"
    printf '%s\t%s\t%s\t%s\n' "$timestamp" "$event" "$source" "$path" \
      >> "$CLAUDE_PROJECT_DIR/.claude/audit/config-events.log"
    ;;
  FileChanged)
    path="$(jq -r '.file_path // ""' <<<"$input")"
    change="$(jq -r '.event // ""' <<<"$input")"
    printf '%s\t%s\t%s\t%s\n' "$timestamp" "$event" "$change" "$path" \
      >> "$CLAUDE_PROJECT_DIR/.claude/audit/config-events.log"
    ;;
esac

exit 0

05 作業終了時のセーフティサマリー

防ぐもの：変更内容・テスト状況・設定ファイル変更を確認しないまま終了すること

非エンジニア向けに言えば：投稿・資料・家計整理の最後に、変更点・根拠・未確認点を必ず要約させるルール。

非エンジニアにこそ効く。Stop hook は Claude が「終わった」と言う瞬間に割り込める。初回 stop をブロックして「本当に今終わっていいか」を一度だけ問い直す。stop_hook_active で無限ループを防げる。

#!/bin/zsh
set -eu

input="$(cat)"
active="$(jq -r '.stop_hook_active // false' <<<"$input")"

# 2回目の stop は通す（無限ループ防止）
[[ "$active" == "true" ]] && exit 0

changed="$(git -C "$CLAUDE_PROJECT_DIR" diff --name-only -- . || true)"
staged="$(git -C "$CLAUDE_PROJECT_DIR" diff --cached --name-only -- . || true)"

if [[ -n "$changed$staged" ]]; then
  sensitive="$(printf '%s\n%s\n' "$changed" "$staged" | \
    grep -E '(^|/)(\.claude/|\.mcp\.json|package\.json|\.env|.*\.pem)$' || true)"
  echo "Before stopping, give a short safety summary: changed files, whether tests/lint were run, and highlight config or secret-sensitive files. Sensitive matches: ${sensitive:-none}" >&2
  exit 2
fi

exit 0

{
  "$schema": "https://json.schemastore.org/claude-code-settings.json",
  "permissions": {
    "defaultMode": "default",
    "deny": [
      "Bash(curl *)", "Bash(wget *)", "Bash(nc *)",
      "Bash(ncat *)", "Bash(scp *)", "Bash(rsync *)", "Bash(ssh *)",
      "Read(./.env)", "Read(./.env.*)",
      "Read(./secrets/**)",
      "Read(./**/*.pem)", "Read(./**/*.key)"
    ]
  },
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [{ "type": "command",
          "command": "\"$CLAUDE_PROJECT_DIR\"/.claude/hooks/block-dangerous-bash.sh" }]
      },
      {
        "matcher": "Read|Edit|Write",
        "hooks": [{ "type": "command",
          "command": "\"$CLAUDE_PROJECT_DIR\"/.claude/hooks/protect-secret-files.sh" }]
      },
      {
        "matcher": "WebFetch|Bash",
        "hooks": [{ "type": "command",
          "command": "\"$CLAUDE_PROJECT_DIR\"/.claude/hooks/allow-network.sh" }]
      }
    ],
    "ConfigChange": [
      { "hooks": [{ "type": "command",
          "command": "\"$CLAUDE_PROJECT_DIR\"/.claude/hooks/audit-config.sh" }] }
    ],
    "FileChanged": [
      {
        "matcher": ".mcp.json|settings.json|settings.local.json",
        "hooks": [{ "type": "command",
          "command": "\"$CLAUDE_PROJECT_DIR\"/.claude/hooks/audit-config.sh" }]
      }
    ],
    "Stop": [
      { "hooks": [{ "type": "command",
          "command": "\"$CLAUDE_PROJECT_DIR\"/.claude/hooks/stop-safety-summary.sh" }] }
    ]
  }
}

claude
# セッション内で確認
/hooks        # 読み込まれた hooks の一覧
/permissions  # 実効権限
/mcp          # MCP サーバー状態
/status       # 設定状態の確認
/doctor       # 設定競合・schema error のチェック