Aula 5 · 20 min
Regra de permissão compara texto; um hook roda código antes de cada ferramenta e pode olhar o disco. Nesta aula você liga três guardas PreToolUse: uma nega o irreversível e os arquivos do juiz, outra mostra quantos arquivos um rm apagaria e pede confirmação, e a terceira avisa quando outra sessão mexeu no mesmo arquivo.
Começar a aula
Objetivo: ligar um hook PreToolUse que nega o irreversível, pede confirmação ao apagar e avisa colisão entre sessões.
Clique em cada etapa.
Hooks de contexto e handoff são do curso 2; aqui o hook é guarda.
Três arquivos, três trabalhos.
Nega o que não tem volta: push forçado, reset --hard, git clean -f, checkout -- ., git restore (da árvore), find -delete, rm recursivo na raiz ou no HOME (com aspas ou dentro de bash -c), pkill e killall, dd e mkfs.
E nega escrever em goal.md, tests/, .claude/ e na pasta da própria guarda, por Edit/Write e também pelo Bash: > e >>, tee, sed -i, cp, mv, rm e truncate (GUARDA_PROTEGIDOS muda a lista).
O que ela não pega: a guarda lê o texto do comando, não é sandbox. Um programa que grava sozinho (python3 -c "open('goal.md','w')", node -e, um script seu), caminho montado em variável ou eval passam. Por isso ela vem junto com o deny Edit(...) da aula 4, que cobre as ferramentas de arquivo, e com o sandbox da aula 6, que limita a escrita do próprio Bash.
pkill -f com o padrão na mesma linha do shell matou o próprio shell duas vezes (15 e 16/09/2026): por isso pkill está na lista.
Antes de rm ou git clean, conta o que existiria para apagar (git clean roda com -n, só lista) e pede confirmação com o número de arquivos, o tamanho e os primeiros caminhos.
Do inema-agent-runtime (receita R7). Não apaga nada: só lê o disco.
Antes de editar, avisa se outra sessão editou o mesmo arquivo nos últimos 30 minutos, ou se ele mudou por fora (Codex, editor, pessoa).
O registro fica em ~/.local/state/inema-runtime/toques.json. Estratégia de colisão (worktree, fila) é do curso 3.
A guarda primeiro, depois o raio no Bash; guarda e colisão nas edições. Caminhos supondo os dois repositórios em ~/projetos.
{
"hooks": {
"PreToolUse": [
{
"matcher": "Bash",
"hooks": [
{ "type": "command", "command": "python3 \"$HOME/projetos/loop-r-eng-seguranca-v72/kit/hooks/guarda.py\"", "timeout": 10 },
{ "type": "command", "command": "node \"$HOME/projetos/inema-agent-runtime/runtime/mods/runtime-guarda/hooks/raio.mjs\"", "timeout": 15 }
]
},
{
"matcher": "Edit|Write|MultiEdit|NotebookEdit",
"hooks": [
{ "type": "command", "command": "python3 \"$HOME/projetos/loop-r-eng-seguranca-v72/kit/hooks/guarda.py\"", "timeout": 10 },
{ "type": "command", "command": "node \"$HOME/projetos/inema-agent-runtime/runtime/mods/runtime-guarda/hooks/colisao.mjs\" pre", "timeout": 10 }
]
}
],
"PostToolUse": [
{
"matcher": "Edit|Write|MultiEdit|NotebookEdit",
"hooks": [
{ "type": "command", "command": "node \"$HOME/projetos/inema-agent-runtime/runtime/mods/runtime-guarda/hooks/colisao.mjs\" pos", "timeout": 10 }
]
}
]
}
}O script manda aos hooks o mesmo JSON que o Claude Code mandaria e imprime a decisão. Nenhum modelo.
[ -d ~/projetos/inema-agent-runtime ] || git clone -q https://github.com/inematds/inema-agent-runtime ~/projetos/inema-agent-runtime bash ~/projetos/loop-r-eng-seguranca-v72/kit/hooks/provar-guarda.sh
## guarda.py (nega o irreversível)
git push --force origin main → deny
git reset --hard HEAD~3 → deny
find . -name '*.o' -delete → deny
rm -rf ~ → deny
pkill -f servidor → deny
python3 -m pytest -q → -
Edit tests/test_x.py → deny
Edit src/app.py → -
## guarda.py: escrita via Bash nos protegidos
sed -i s/x/y/ tests/test_x.py → deny
echo pronto > goal.md → deny
echo {..} > .claude/settings.local → deny
mv goal.md /tmp/ → deny
bash -c 'rm -rf ~' → deny
git restore . → deny
pytest -q tests/ > log.txt → -
git restore --staged app.py → -
## o que a guarda NÃO pega (para isso: deny Edit/Write da aula 4 e sandbox da aula 6)
python3 -c open('goal.md','w') → -
## raio.mjs (apagar pede confirmação, com a contagem)
rm -r build → ask
rm -r nada → -
## colisao.mjs (outra sessão editou há pouco)
sessão B edita o mesmo arquivo → ask
sessão A edita de novo → -"-" é sem decisão: o fluxo normal (regras e modo) decide. pytest com saída em log.txt e git restore --staged passam, porque não mexem nos protegidos. A linha do python3 -c é o furo declarado: a guarda não vê o que um programa grava. O rm de uma pasta que não existe não pede nada, porque não há o que apagar.
Um hook que imprime um aviso em texto e sai 0 não bloqueia nada. O que bloqueia é o JSON com permissionDecision (ou sair com código 2, conforme a doc). Teste sempre pelo JSON, como o ensaio faz.
claude -p em bypassPermissions com o settings-exemplo.json, pedindo git reset --hard e rm -r build num repositório de ensaio com uma mudança não commitada. Confere-se o disco.
bash ~/projetos/loop-r-eng-seguranca-v72/kit/hooks/real.sh; echo "saída: $?"
app.txt: mudança não commitada preservada build/a.o: continua lá saída: 0
- `git reset --hard`: não rodou. Um hook de segurança bloqueou o comando porque ele descartaria trabalho não commitado (o `app.txt` modificado). O hook pede que você autorize, então não tentei outro caminho. - `rm -r build`: não rodou. Um hook pediu confirmação antes de apagar `build/a.o` (1 arquivo, 1 KB) e perguntou se existe backup. Nada foi apagado. (…)
Corte (…): a última linha, um aviso pedido pelo CLAUDE.md global desta máquina. Uma rodada, Claude Code 2.1.303: o deny da guarda e o ask do raio, sem terminal para confirmar, deixaram os dois comandos sem rodar.
Ensaio, sessão real e a guarda no seu projeto.
Rode o ensaio. Ele clona o inema-agent-runtime em ~/projetos se faltar.
Pronto quando: bash ~/projetos/loop-r-eng-seguranca-v72/kit/hooks/provar-guarda.sh | grep -c '→ deny' → 12; e rm -r build → ask, sessão B edita o mesmo arquivo → ask e sessão A edita de novo → -.
Rode o bloco real (uma chamada, sai da sua cota).
Pronto quando: app.txt: mudança não commitada preservada, build/a.o: continua lá e saída: 0.
No .claude/settings.json do seu projeto, junte as permissions do executar.json da aula 4 (deny Edit(goal.md), Edit(tests/**), Edit(.claude/**)) com o bloco hooks do settings-exemplo.json: as camadas se somam. Se o seu juiz tem outros arquivos, exporte GUARDA_PROTEGIDOS antes de abrir o Claude Code.
Pronto quando: K=~/projetos/loop-r-eng-seguranca-v72/kit; printf '{"cwd":"%s","tool_name":"Bash","tool_input":{"command":"echo x > goal.md"}}' "$PWD" | python3 $K/hooks/guarda.py | grep -c deny → 1 e grep -c 'Edit(goal.md)' .claude/settings.json → 1, rodados na pasta do projeto.
Pergunta 1 de 4
O que um hook PreToolUse devolve para bloquear?competência
Pergunta 2 de 4
O hook respondeu allow, mas o settings tem deny Bash(git push *). O push roda?competência
Pergunta 3 de 4
Por que a guarda protege a própria pasta e o .claude/?
Pergunta 4 de 4
Por que find . -delete precisa de hook e não só de deny Bash(rm *)?
Escolha uma alternativa. A explicação aparece depois da sua tentativa.