Bloquear comandos perigosos no Claude Code antes que rodem

Este mod permite bloquear comandos perigosos no Claude Code antes que ele os execute pela ferramenta Bash. Antes de qualquer comando de shell rodar, ele é comparado com uma lista curta de regras. Se houver correspondência, o comando é recusado, o Claude fica sabendo qual regra disparou e por quê, e você vê um toast com o nome da regra. Comandos seguros passam sem nenhuma alteração.

As regras embutidas cobrem rm -rf em /, ~, $HOME, . ou *; git push --force para main ou master; git clean -fdx; os comandos SQL DROP TABLE, DROP DATABASE, DROP SCHEMA e TRUNCATE; chmod -R 777 /; mkfs; dd gravando em um dispositivo de disco; redirecionar a saída para um disco bruto; encadear curl ou wget direto em um shell; e a clássica fork bomb. git reset --hard está disponível como regra opcional. Requer Claude Code 2.1.287 ou posterior.

A gravação pede ao Claude que faça algo destrutivo em um projeto de demonstração. O mod recusa a chamada Bash, um toast mostra o nome da regra que correspondeu, e o Claude lê o motivo e responde sem executar o comando.

Use um dos métodos de instalação do bloco. A proteção fica ativa a partir da próxima chamada de ferramenta; não é preciso reiniciar depois de /reload-plugins.

Toda a lógica fica em um único hook tool.call. Trecho de hooks/register.ts:

on('tool.call', { tool: 'Bash' }, ($, e, next) => {
  const match = findMatch(e.command, settings)
  if (match === undefined) return next(e)

  if (settings.mode === 'warn') {
    $.ui.toast(`${$.plugin.name}: "${match.name}" is running (warn mode)`)
    return next(e)
  }

  $.ui.toast(`${$.plugin.name}: blocked "${match.name}"`)
  return { deny: denyReason($.plugin.name, match) }
}).catch(($, e, next) =>
  next.called
    ? next(e)
    : { deny: `${$.plugin.name}: its check failed, so the command was not run to be safe.` },
)

O filtro { tool: 'Bash' } significa que o hook só enxerga comandos de shell. A função findMatch em hooks/rules.ts verifica primeiro allowPatterns, depois as regras embutidas (pulando as que estão desativadas) e, por fim, seus extraPatterns. Sem correspondência, next(e) executa o comando normalmente. Com correspondência, o hook retorna { deny: reason }, e esse motivo vira o resultado da ferramenta que o Claude lê.

O handler .catch é o que transforma isto em uma proteção de verdade, e não apenas em um filtro. Se a verificação lançar um erro antes de next ser chamado, a chamada é negada em vez de liberada: o mod falha de forma fechada. Um hook session.start mostra um toast uma única vez se algum dos seus padrões personalizados não for uma expressão regular válida.

Cada regra em rules.ts é um simples dado com um id, um nome, um motivo de uma frase e comandos de exemplo que os testes verificam.

Altere estas opções em /config. mode: warn transforma a proteção em um aviso: os comandos que correspondem continuam rodando, e você recebe um toast. extraPatterns e allowPatterns aceitam expressões regulares JavaScript, uma por entrada. Para mudar uma regra embutida, edite o pattern dela no array RULES em hooks/rules.ts.

Intercepta chamadas de ferramentas é a razão de existir do mod: ele vê cada comando Bash antes que rode e pode negá-lo. Ele nunca reescreve um comando e nunca executa nenhum por conta própria. Altera a interface cobre os toasts. O mod não tem acesso próprio a arquivos, rede, modelo ou comandos.

Isto é uma proteção contra acidentes, não uma sandbox. Um comando construído para escapar dos padrões vai passar, então mantenha os prompts de permissão do Claude Code ativados. Desative o mod com /plugin disable cm-block-dangerous-commands, ou inicie uma sessão com todos os mods desligados usando claude --safe-mode.

Testado com Claude Code 2.1.291 no terminal, no macOS. Se comandos que você esperava ver bloqueados continuarem rodando:

• Verifique se claude --version é 2.1.287 ou posterior e se o mod está ativado em /plugin.
• Execute /reload-plugins depois de uma instalação pelo shell.
• Confira se mode está como block, e não warn, em /config.
• Verifique se alguma entrada de allowPatterns não está correspondendo a mais coisas do que você pretendia.
• A proteção cobre apenas a ferramenta Bash. Edições de arquivos feitas por Edit e Write não são verificadas.

Se um comando seguro for recusado, adicione um padrão de liberação bem específico em vez de colocar o mod inteiro em modo de aviso.