Clase 5 · 20 min
Una regla de permiso compara texto; un hook ejecuta código antes de cada herramienta y puede mirar el disco. En esta clase activas tres guardias PreToolUse: una niega lo irreversible y los archivos del juez, otra muestra cuántos archivos borraría un rm y pide confirmación, y la tercera avisa cuando otra sesión tocó el mismo archivo.
Comenzar la clase
Objetivo: activar un hook PreToolUse que niegue lo irreversible, pida confirmación al borrar y avise de colisión entre sesiones.
Haz clic en cada etapa.
Los hooks de contexto y handoff son del curso 2; aquí el hook es guardia.
Tres archivos, tres trabajos.
Niega lo que no tiene vuelta atrás: push forzado, reset --hard, git clean -f, checkout -- ., git restore (del árbol), find -delete, rm recursivo en la raíz o en el HOME (con comillas o dentro de bash -c), pkill y killall, dd y mkfs.
Y niega escribir en goal.md, tests/, .claude/ y en la carpeta de la propia guardia, por Edit/Write y también por Bash: > y >>, tee, sed -i, cp, mv, rm y truncate (GUARDA_PROTEGIDOS cambia la lista).
Lo que no atrapa: la guardia lee el texto del comando, no es sandbox. Un programa que escribe por sí solo (python3 -c "open('goal.md','w')", node -e, un script tuyo), una ruta armada en una variable o eval pasan. Por eso viene junto con el deny Edit(...) de la clase 4, que cubre las herramientas de archivo, y con el sandbox de la clase 6, que limita la escritura del propio Bash.
pkill -f con el patrón en la misma línea del shell mató al propio shell dos veces (15 y 16/09/2026): por eso pkill está en la lista.
Antes de rm o git clean, cuenta lo que habría para borrar (git clean corre con -n, solo lista) y pide confirmación con el número de archivos, el tamaño y las primeras rutas.
Del inema-agent-runtime (receta R7). No borra nada: solo lee el disco.
Antes de editar, avisa si otra sesión editó el mismo archivo en los últimos 30 minutos, o si cambió por fuera (Codex, editor, persona).
El registro queda en ~/.local/state/inema-runtime/toques.json. La estrategia de colisión (worktree, cola) es del curso 3.
Primero la guardia, luego raio.mjs en Bash; guardia y colisión en las ediciones. Rutas suponiendo los dos repositorios en ~/projetos.
{
"hooks": {
"PreToolUse": [
{
"matcher": "Bash",
"hooks": [
{ "type": "command", "command": "python3 \"$HOME/projetos/loop-r-eng-seguranca-v72/kit/hooks/guarda.py\"", "timeout": 10 },
{ "type": "command", "command": "node \"$HOME/projetos/inema-agent-runtime/runtime/mods/runtime-guarda/hooks/raio.mjs\"", "timeout": 15 }
]
},
{
"matcher": "Edit|Write|MultiEdit|NotebookEdit",
"hooks": [
{ "type": "command", "command": "python3 \"$HOME/projetos/loop-r-eng-seguranca-v72/kit/hooks/guarda.py\"", "timeout": 10 },
{ "type": "command", "command": "node \"$HOME/projetos/inema-agent-runtime/runtime/mods/runtime-guarda/hooks/colisao.mjs\" pre", "timeout": 10 }
]
}
],
"PostToolUse": [
{
"matcher": "Edit|Write|MultiEdit|NotebookEdit",
"hooks": [
{ "type": "command", "command": "node \"$HOME/projetos/inema-agent-runtime/runtime/mods/runtime-guarda/hooks/colisao.mjs\" pos", "timeout": 10 }
]
}
]
}
}El script envía a los hooks el mismo JSON que enviaría Claude Code e imprime la decisión. Ningún modelo.
[ -d ~/projetos/inema-agent-runtime ] || git clone -q https://github.com/inematds/inema-agent-runtime ~/projetos/inema-agent-runtime bash ~/projetos/loop-r-eng-seguranca-v72/kit/hooks/provar-guarda.sh
## guarda.py (nega o irreversível)
git push --force origin main → deny
git reset --hard HEAD~3 → deny
find . -name '*.o' -delete → deny
rm -rf ~ → deny
pkill -f servidor → deny
python3 -m pytest -q → -
Edit tests/test_x.py → deny
Edit src/app.py → -
## guarda.py: escrita via Bash nos protegidos
sed -i s/x/y/ tests/test_x.py → deny
echo pronto > goal.md → deny
echo {..} > .claude/settings.local → deny
mv goal.md /tmp/ → deny
bash -c 'rm -rf ~' → deny
git restore . → deny
pytest -q tests/ > log.txt → -
git restore --staged app.py → -
## o que a guarda NÃO pega (para isso: deny Edit/Write da aula 4 e sandbox da aula 6)
python3 -c open('goal.md','w') → -
## raio.mjs (apagar pede confirmação, com a contagem)
rm -r build → ask
rm -r nada → -
## colisao.mjs (outra sessão editou há pouco)
sessão B edita o mesmo arquivo → ask
sessão A edita de novo → -"-" es sin decisión: el flujo normal (reglas y modo) decide. pytest con salida en log.txt y git restore --staged pasan, porque no tocan los protegidos. La línea del python3 -c es el hueco declarado: la guardia no ve lo que escribe un programa. El rm de una carpeta que no existe no pide nada, porque no hay nada que borrar.
Un hook que imprime un aviso en texto y sale con 0 no bloquea nada. Lo que bloquea es el JSON con permissionDecision (o salir con código 2, según la doc). Prueba siempre por el JSON, como hace el ensayo.
claude -p en bypassPermissions con el settings-exemplo.json, pidiendo git reset --hard y rm -r build en un repositorio de ensayo con un cambio sin commitear. Se comprueba el disco.
bash ~/projetos/loop-r-eng-seguranca-v72/kit/hooks/real.sh; echo "saída: $?"
app.txt: mudança não commitada preservada build/a.o: continua lá saída: 0
- `git reset --hard`: não rodou. Um hook de segurança bloqueou o comando porque ele descartaria trabalho não commitado (o `app.txt` modificado). O hook pede que você autorize, então não tentei outro caminho. - `rm -r build`: não rodou. Um hook pediu confirmação antes de apagar `build/a.o` (1 arquivo, 1 KB) e perguntou se existe backup. Nada foi apagado. (…)
Corte (…): la última línea, un aviso pedido por el CLAUDE.md global de esta máquina. Una ronda, Claude Code 2.1.303: el deny de la guardia y el ask de raio.mjs, sin terminal para confirmar, dejaron los dos comandos sin ejecutarse.
Ensayo, sesión real y la guardia en tu proyecto.
Ejecuta el ensayo. Clona inema-agent-runtime en ~/projetos si falta.
Listo cuando: bash ~/projetos/loop-r-eng-seguranca-v72/kit/hooks/provar-guarda.sh | grep -c '→ deny' → 12; y rm -r build → ask, sessão B edita o mesmo arquivo → ask y sessão A edita de novo → -.
Ejecuta el bloque real (una llamada, sale de tu cuota de suscripción).
Listo cuando: app.txt: mudança não commitada preservada, build/a.o: continua lá y saída: 0.
En el .claude/settings.json de tu proyecto, junta las permissions del executar.json de la clase 4 (deny Edit(goal.md), Edit(tests/**), Edit(.claude/**)) con el bloque hooks del settings-exemplo.json: las capas se suman. Si tu juez tiene otros archivos, exporta GUARDA_PROTEGIDOS antes de abrir Claude Code.
Listo cuando: K=~/projetos/loop-r-eng-seguranca-v72/kit; printf '{"cwd":"%s","tool_name":"Bash","tool_input":{"command":"echo x > goal.md"}}' "$PWD" | python3 $K/hooks/guarda.py | grep -c deny → 1 y grep -c 'Edit(goal.md)' .claude/settings.json → 1, ejecutados en la carpeta del proyecto.
Pregunta 1 de 4
¿Qué devuelve un hook PreToolUse para bloquear?competencia
Pregunta 2 de 4
El hook respondió allow, pero el settings tiene deny Bash(git push *). ¿Se ejecuta el push?competencia
Pregunta 3 de 4
¿Por qué la guardia protege su propia carpeta y el .claude/?
Pregunta 4 de 4
¿Por qué find . -delete necesita un hook y no basta con deny Bash(rm *)?
Elige una alternativa. La explicación aparece después de tu intento.