上周同事问我这方面，你让 Claude 跑命令不怕它 rm -rf？我愣了几秒，按理说，

不是没想过是真被它坑过。我那会儿在 CLAUDE.md 里白纸黑字写着“禁止执行 rm -rf、禁止动 .git 目录”。模型读得也挺欢，回我“好的，我会注意”。结果某次让它清理 /tmp 下的测试产物，它顺手把 rm -rf /tmp/* 扩成了 rm -rf /*我这坑躺了三天才把项目从 git 历史里捞回来。

提示词拦不住这事我搜了几个小时 issue 才想明白为什么：提示词是自然语言约束，本质是“拜托模型别这么做”。模型理解了但它在生成 token 那一刻并不保证遵守。更别说有些危险是它自己组合出来的——单看每条命令都人畜无害，串起来就是灾难。确定性的事，必须交给确定性机制。这就是 Hooks 要解决的问题。

等一下这里我漏说一个前提——Hooks 不是模型能力，是 Harness 能力。它发生在工具真正执行之前/之后由 Claude Code 的运行时触发，模型根本碰不到这一层。你在提示词里写一万遍“别 rm -rf”，不如一个 PreToolUse Hook 管用。

从事件来看，会话级和工具调用级两大家族

Hooks 挂的事件分两类。会话级事件管生命周期：

• SessionStart
• SessionEnd
• Stop

工具调用级事件管每一次工具执行：

• PreToolUse 在工具执行前拦截
• PostToolUse 在执行后回调
•  管子智能体。怎么说呢，

I used a PreToolUse hook—checking my script before any Bash command actually lands in shell.

配置的观点是，六个位置。六种用途

The hook configuration lives across six layers:

1. Enterprise policy
2. User‑level ~/.claude/settings.json
3. User‑level project config .claude/settings.json
4. User‑level local config .claude/settings.local.json
5. The Skill frontmatter
6. The CLI arguments

I put dangerous‑command blocker at project level so everyone on team shares it;I keep local sensitive paths in settings.local.json,never committing m.

三种处理器的观点是，确定性优先

The processor types balance “deterministic vs flexible”:

• command : run a shell script。hard‑coded rules,fastest and most deterministic—use this for blocking “rm -rf /”.
• prompt : single LLM evaluation with a prompt for a small model to decide—flexible but slower and uncertain;good for “does this code have a security flaw?” questions.
• agent : spawn a sub‑agent for multi‑turn verification—most powerful but slowest;ideal for running test suites or validating complex outputs.

Your rule is simple string matching?说起来，Stick with command—no need to invite an LLM and risk uncertainty.

hookSpecificOutput：和 Claude 说话的协议

A hook writes JSON to stdout so Claude Code can read it:

{
"hookSpecificOutput": {
"hookEventName": "PreToolUse","permissionDecision": "deny","permissionDecisionReason": "拦截危险命令模式: rm -rf /"
}
}

The key fields are:

• permissionDecision = allow|deny 
• If denied。permissionDecisionReason provides feedback back to Claude so it knows *** it was blocked.
• You can also include an additionalContext field to pass more information.
The exit status matters – non‑zero means “stop”,zero means “go ahead”.

从救场脚本来看，PreToolUse 危险命令拦截

• You must write debug logs to stderr orwise y pollute stdout and break JSON parsing.

• The explicit # set –e && exit …s mean “stop”,while returning zero means “continue”.

• Don’t try running fork bomb in your terminal—just keep it in list as a pattern.

Hook 配置示例：

说到说明，

• 用 `Bash` matcher` 匹配只触发于命令执行；`Write|Edit` 针对文件操作；`*` 为通配所有事件，• `block-dangerous.sh` 是最关键的安全防线；如果你发现脚本误判，请立刻修复——错误的 Hook 本身也可能导致误删或误阻。• 所有 Hook 脚本都应该有可恢复性，避免因偶发错误导致整个工作流卡死。

 • 我把日志目录放进 .gitignore→ .claude/logs/​*,否则每天 diff 全都是日志噪声。• 日志按天切分，一旦出事直接 grep 就能定位是哪条命令造成损失。• 若你想把审计记录推到远程或做可视化分析，只需
这段脚本即可。

• **关键细节** —— Stop Hook block 后 Claude 会
触发；第二次触发时带上 `.stop_hook_active:true`”，这时必须让其通过否则死循环 CPU 饱和。• 若你发现 CPU 占满且不断跑同一套测试，只需检查此脚本中对 `stop_hook_active` 的处理是否正确。• 当你的项目需要通过 CI 自动跑完整套件后才允许使用者退出时用这个钩子可以确保质量门控始终生效。

 • 在华为鸿蒙审核期间。我用 PreToolUse Hook 自动校验 manifest 的权限声明与隐私政策是否一致，省去多轮打回的痛苦。• 对于 SaaS 网站。可以用 PostToolUse 写入安全审计表，以满足合规需求。• 针对多人协作，可用 SubagentStart/Stop 管理临时子智能体完成专属任务，再收尾。

 • Prompt 与 Hooks 并非互斥，而是互补：
◇ Prompt 控制“该做什么”；◇ Hooks 控制“不能做什么”。◇ 确定性的红线交给 Hooks。它们以 deterministic 决策替代 LLM 的不确定性，从而避免灾难。话说回来，◇ 当 Hook 本身写错怎么办？可以再加一层自检或监控，例如让另一组 Agent 定期跑脚本验证其正确性；若检测到异常，再返回错误给团队维护者。◇ 长期而言，把 Hook 写成可版本化、可复用的组件。并将其纳入 CI/CD 流程，就能实现持续安全保障，而不是仅靠一次手动部署。