バイパスモード運用ルール ひな形安全柵の立て方・慣らし方・育て方

{
  "permissions": {
    "defaultMode": "bypassPermissions",
    "deny": [
      "Bash(rm -rf:*)",
      "Bash(rm -fr:*)",
      "Bash(sudo:*)",
      "Bash(sudo)",
      "Bash(dd:*)",
      "Bash(mkfs:*)",
      "Bash(mkfs.*:*)",
      "Bash(shutdown:*)",
      "Bash(reboot:*)",
      "Bash(halt:*)",
      "Bash(poweroff:*)",
      "Bash(git push --force:*)",
      "Bash(git push -f:*)",
      "Bash(git reset --hard:*)",
      "Bash(git clean -f:*)",
      "Bash(git clean -fd:*)",
      "Bash(git clean -fdx:*)",
      "Bash(git branch -D:*)",
      "Bash(npm publish:*)",
      "Bash(pnpm publish:*)",
      "Bash(yarn publish:*)",
      "Bash(chmod -R 777:*)",
      "Bash(docker system prune:*)",
      "Bash(docker volume rm:*)",
      "Bash(docker volume prune:*)"
    ]
  },
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "command": "bash ~/.claude/hooks/block-dangerous-bash.sh",
            "timeout": 10
          }
        ]
      }
    ]
  }
}

#!/usr/bin/env bash
# Block classic destructive bash patterns even when defaultMode is bypassPermissions.
# Reads hook input JSON on stdin, emits PreToolUse decision JSON on stdout.
set -euo pipefail

input="$(cat)"
cmd="$(printf '%s' "$input" | jq -r '.tool_input.command // ""')"

# Empty command: allow
if [ -z "$cmd" ]; then
  exit 0
fi

lc="$(printf '%s' "$cmd" | tr '[:upper:]' '[:lower:]')"

deny() {
  jq -n --arg r "$1" '{
    hookSpecificOutput: {
      hookEventName: "PreToolUse",
      permissionDecision: "deny",
      permissionDecisionReason: $r
    }
  }'
  exit 0
}

# 再帰削除（rm -rf / -fr）
if printf '%s' "$lc" | grep -Eq '(^|[^a-z0-9_./-])rm[[:space:]]+(-[a-z]*r[a-z]*f|-[a-z]*f[a-z]*r)([[:space:]]|$)'; then
  deny "再帰削除はブロック（安全柵）。同じコマンドの再送は禁止。代替: 新規のクリーン作業ディレクトリは mktemp -d / 既存物の削除は trash <パス>（復元可能）"
fi

# sudo（単体・連結どちらも）
if printf '%s' "$lc" | grep -Eq '(^|[[:space:]]|;|&|\||\()sudo([[:space:]]|$)'; then
  deny "sudo はブロック（安全柵）"
fi

# dd / mkfs*
if printf '%s' "$lc" | grep -Eq '(^|[[:space:]]|;|&|\|)(dd|mkfs(\.[a-z0-9]+)?)[[:space:]]'; then
  deny "dd / mkfs はブロック（安全柵）"
fi

# shutdown / reboot / halt / poweroff
if printf '%s' "$lc" | grep -Eq '(^|[[:space:]]|;|&|\|)(shutdown|reboot|halt|poweroff)([[:space:]]|$)'; then
  deny "システム停止系コマンドはブロック（安全柵）"
fi

# git push --force（--force-with-lease は許可）
if printf '%s' "$lc" | grep -Eq 'git[[:space:]]+push[[:space:]]+(-f([[:space:]]|$)|--force([[:space:]]|$))'; then
  deny "git push --force はブロック（安全柵、--force-with-lease を使ってください）"
fi

# git reset --hard
if printf '%s' "$lc" | grep -Eq 'git[[:space:]]+reset[[:space:]]+--hard'; then
  deny "git reset --hard はブロック（安全柵）"
fi

# git clean -f 系
if printf '%s' "$lc" | grep -Eq 'git[[:space:]]+clean[[:space:]]+-[a-z]*f'; then
  deny "git clean -f 系はブロック（安全柵）"
fi

# git branch -D（大文字D＝強制削除。小文字化前の文字列で判定）
if printf '%s' "$cmd" | grep -Eq 'git[[:space:]]+branch[[:space:]]+-D([[:space:]]|$)'; then
  deny "git branch -D はブロック（安全柵）"
fi

# git commit --no-verify / --no-gpg-sign（pre-commit hook のスキップ）
if printf '%s' "$lc" | grep -Eq 'git[[:space:]]+commit[[:space:]].*(--no-verify|--no-gpg-sign)'; then
  deny "git commit --no-verify / --no-gpg-sign はブロック（安全柵、pre-commit hook はスキップ禁止）"
fi

# curl | sh / wget | sh（検証していないスクリプトの実行）
if printf '%s' "$lc" | grep -Eq '(curl|wget)[[:space:]].*\|[[:space:]]*(sh|bash|zsh|ksh)([[:space:]]|$)'; then
  deny "curl/wget パイプ経由のシェル実行はブロック（安全柵）"
fi

# パッケージ公開
if printf '%s' "$lc" | grep -Eq '(^|[[:space:]]|;|&|\|)(npm|pnpm|yarn)[[:space:]]+publish([[:space:]]|$)'; then
  deny "npm/pnpm/yarn publish はブロック（安全柵）"
fi

# chmod -R 777
if printf '%s' "$lc" | grep -Eq 'chmod[[:space:]]+-[a-z]*r[a-z]*[[:space:]]+777'; then
  deny "chmod -R 777 はブロック（安全柵）"
fi

# docker の破壊的 prune / volume rm
if printf '%s' "$lc" | grep -Eq 'docker[[:space:]]+(system[[:space:]]+prune|volume[[:space:]]+rm|volume[[:space:]]+prune)'; then
  deny "docker の破壊的 prune / volume rm はブロック（安全柵）"
fi

# fork bomb
if printf '%s' "$cmd" | grep -Eq ':\(\)[[:space:]]*\{[^}]*\|[[:space:]]*:[[:space:]]*&'; then
  deny "fork bomb 検出（安全柵）"
fi

# 生ディスクへの書き込み
if printf '%s' "$lc" | grep -Eq '>[[:space:]]*/dev/(disk|sd|nvme|hd)'; then
  deny "生ディスクへの書き込みはブロック（安全柵）"
fi

exit 0

chmod +x ~/.claude/hooks/block-dangerous-bash.sh

## バイパスモード運用ルール

確認プロンプトが出ないモードで動いている。破壊系コマンドはシステム層（hook + permissions.deny）で
強制ブロック済み。以下はhookで拾えない領域なので必ず守る。

大原則: 取り消せる操作は自律で進める。取り消せない操作は必ず一度止まって確認する。

1. `.env` / APIキー / 認証情報をコミット・外部送信しない
2. `--no-verify` `--force` `--no-gpg-sign` など安全機構のスキップは禁止（明示指示でも再確認する）
3. 本番環境への変更は事前確認（下の「本番リスト」参照）
4. 顧客データ・記録の削除やアーカイブは事前確認（Notion DB / スプレッドシート / 顧客管理ツール）
5. 10ファイルを超える一括削除は事前確認
6. 未コミット変更を上書きしない（`git stash drop` / `git checkout --` で消さない）
7. 外部への発信（公式LINE配信 / SNS投稿 / メール送信 / 決済）は、送信直前に
   「宛先・件数・本文」を提示して承認を取る。「進めて」だけを送信承認とみなさない
8. 10分を超えるタスクは、開始時と完了時に報告する

### 本番リスト（これを触るときは必ず止まる）
- （記入）例: 会員サイト https://〜 のコンテンツ・会員データ
- （記入）例: 販売中LPのページ
- （記入）例: 顧客管理のNotion DB「〇〇」
- （記入）例: 公式LINEの配信（テスト送信を除く）