Claude Code Plugin Architect

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "command": "\"${CLAUDE_PLUGIN_ROOT}\"/scripts/guard.sh"
          }
        ]
      }
    ]
  }
}

#!/usr/bin/env bash
set -euo pipefail

INPUT="$(cat)"
TOKEN="${MY_PLUGIN_API_TOKEN:-}"

if [[ -z "$TOKEN" ]]; then
  echo "guard: MY_PLUGIN_API_TOKEN не заданий, пропускаю" >&2
  exit 0
fi

# Безпечний парсинг з фолбеком без jq
CMD=""
if command -v jq >/dev/null 2>&1; then
  CMD="$(echo "$INPUT" | jq -r '.tool_input.command // ""')"
else
  CMD="$(echo "$INPUT" | grep -o '"command": *"[^"]*"' | head -n1 | cut -d'"' -f4 || true)"
fi

# Блокування читання .env (включно з source/.) та деструктивних команд
if echo "$CMD" | grep -Eq '(^|[[:space:]])(cat|less|head|tail|bat|source|\.)[[:space:]]+[^|;]*\.env' \
   || echo "$CMD" | grep -Eq 'rm[[:space:]]+(-[a-zA-Z]*r[a-zA-Z]*f?|--recursive)[[:space:]]+/($|[[:space:]])'; then
  echo "guard: БЛОКУВАННЯ (exit 2) — спроба читання .env або rm -rf /!" >&2
  exit 2
fi

exit 0