Hook di Claude Code: quality gate deterministici per lint, test e sicurezza

{
  "hooks": {
    "PostToolUse": [
      {
        "matcher": "Edit|Write",
        "hooks": [
          {
            "type": "command",
            "command": "$CLAUDE_PROJECT_DIR/.claude/hooks/format.sh"
          }
        ]
      }
    ]
  }
}

{
  "session_id": "a1b2c3",
  "cwd": "/home/me/coolsolution-blog",
  "hook_event_name": "PreToolUse",
  "tool_name": "Bash",
  "tool_input": {
    "command": "rm -rf ./build"
  }
}

#!/usr/bin/env bash
# riformatta e linta il file appena modificato da Claude
set -euo pipefail

# il path arriva nel JSON su stdin, dentro tool_input
file="$(jq -r '.tool_input.file_path // empty')"
[ -z "$file" ] && exit 0            # nessun file: niente da fare

case "$file" in
  *.ts|*.tsx|*.js|*.jsx|*.css|*.md)
    yarn prettier --write "$file"
    yarn eslint --fix "$file" || true
    ;;
esac

exit 0                               # PostToolUse non blocca: si prosegue

#!/usr/bin/env bash
# nega comandi distruttivi e modifiche a file sensibili
set -euo pipefail
input="$(cat)"                                 # tutto il JSON su stdin

tool="$(jq -r '.tool_name'              <<<"$input")"
cmd="$(jq -r '.tool_input.command // empty'   <<<"$input")"
path="$(jq -r '.tool_input.file_path // empty' <<<"$input")"

deny() {
  jq -n --arg r "$1" '{
    hookSpecificOutput: {
      hookEventName: "PreToolUse",
      permissionDecision: "deny",
      permissionDecisionReason: $r
    }
  }'
  exit 0                                       # decisione via stdout JSON
}

# rm -rf su glob non circoscritti
[[ "$tool" == "Bash" && "$cmd" =~ rm[[:space:]]+-rf.*[*/] ]] \
  && deny "comando distruttivo 'rm -rf' bloccato dall'hook"

# modifiche a file di segreti
[[ "$path" == *.env || "$path" == *.dev.vars ]] \
  && deny "modifica a file sensibile ($path) non consentita"

exit 0                                         # nessuna corrispondenza: flusso normale

#!/usr/bin/env bash
# Stop gate: non chiudere il turno con i test rossi
set -uo pipefail
input="$(cat)"

# evita il loop: se l'hook gira già in risposta a se stesso, esci
[ "$(jq -r '.stop_hook_active // false' <<<"$input")" = "true" ] && exit 0

if yarn test --silent >/tmp/claude-test.log 2>&1; then
  exit 0                            # verde: Claude può fermarsi
fi

# rosso: blocca lo Stop e rimanda l'errore a Claude
tail -n 20 /tmp/claude-test.log >&2
jq -n '{
  decision: "block",
  reason: "yarn test è rosso: correggi i test prima di chiudere il turno."
}'

#!/usr/bin/env bash
# briefing di progetto iniettato a ogni avvio di sessione
set -euo pipefail

branch="$(git rev-parse --abbrev-ref HEAD 2>/dev/null || echo '-')"
changed="$(git status --porcelain 2>/dev/null | awk '{print $2}' | paste -sd, -)"

ctx="Branch corrente: ${branch}
File modificati: ${changed:-nessuno}"

jq -n --arg c "$ctx" '{
  hookSpecificOutput: {
    hookEventName: "SessionStart",
    additionalContext: $c
  }
}'