Claude의 도구 사용을 제어하는 3단계 보안 후크: npm 공급망 공격 방어 가이드

#!/bin/bash
input=$(cat)
tool_name=$(echo "$input" | jq -r '.tool_name // ""')
command=$(echo "$input" | jq -r '.tool_input.command // ""')
if [ "$tool_name" != "Bash" ]; then exit 0; fi
if ! echo "$command" | grep -qE 'npm (install\b|i |ci\b)|npx |npm exec |yarn (add|install) |pnpm (add|install) '; then
exit 0
fi
if echo "$command" | grep -q '\-\-ignore-scripts'; then exit 0; fi
echo '{"error": "BLOCKED: npm install without --ignore-scripts."}' >&2
exit 2

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "command": ".claude/hooks/npm-audit-check.sh",
            "timeout": 30
          }
        ]
      }
    ],
    "PostToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "command": ".claude/hooks/post-install-audit.sh",
            "timeout": 30
          }
        ]
      }
    ]
  }
}