Sep 15, 2026

用 Claude Code Mastery 的 hooks 给 Claude Code 装上强制护栏

一个 543 星的指南加模板仓库，其 hook 脚本把 CLAUDE.md 里的建议变成确定性拦截——并附上「一个任务一个会话」的研究论据。

#tutorial#claude-code#best-practices#security

你的 CLAUDE.md 写着「别动 .env」。模型读了这条规则，把它和其他上下文放在一起权衡，然后有时照样去改这个文件。543 星的 claude-code-mastery 仓库提供的 hook 脚本不是建议而是拦截——并且用一份覆盖全局配置、MCP 服务器、命令和 skills 的指南支撑这套做法。

先说清楚一点：README 已把这个 V2 指南标记为过时，并指向更新版本——V5 文章、Starter Kit 和带 21 个模式的独立 MDD npm 包。仓库里可安装的部分今天仍然在（2026 年 9 月 15 日核实：hooks/、skills/、templates/、commands/ 和 GUIDE.md 都存在），所以把它当作一套能用的模板加一份 V3 指南，而不是作者的最新结论。

为什么这个 Skill 重要

核心论点是「强制优于建议」。CLAUDE.md 里的规则由 LLM 解析并与其余上下文权衡——也许会遵守。而 PreToolUse hook 每次都会运行，退出码 2 会直接拦截操作。README 引用了一位社区成员的话，他那个拦截密钥访问的 hook 每周都会触发几次：「Claude does not respect CLAUDE.md rules very rigorously（Claude 并不会非常严格地遵守 CLAUDE.md 规则）」。

第二个论点是单一目的会话。README 的研究表格包括：一篇 arXiv 论文报告多轮对话中混杂话题会导致 39% 的性能下降；Chroma 的 context rot 研究表明上下文越长召回越差；还有一篇 context pollution 分析，2% 的早期偏差最终导致 40% 的失败率。它的黄金法则：一个任务，一个会话。

安装

文档记载的快速开始会把 hooks、settings 和 skills 复制进 ~/.claude/（前置条件：Python 3.8+ 和 jq）：

git clone https://github.com/TheDecipherist/claude-code-mastery.git
cd claude-code-mastery

mkdir -p ~/.claude/hooks
cp hooks/* ~/.claude/hooks/
chmod +x ~/.claude/hooks/*.sh

# 覆盖你的 settings 前先检查并按需修改！
cp templates/settings.json ~/.claude/settings.json

mkdir -p ~/.claude/skills
cp -r skills/* ~/.claude/skills/

实战：拦截密钥访问和危险命令

弄清你装了什么。五个 hook 脚本及其触发点：block-secrets.py（PreToolUse，拦截 .env 访问）、block-dangerous-commands.sh（PreToolUse，拦截 rm -rf 之类）、end-of-turn.sh（Stop，质量门禁）、after-edit.sh（PostToolUse，跑格式化工具）和 notify.sh（Notification，桌面通知）。
理解让 hook 具备确定性的退出码契约，直接来自 README：

退出码	含义
0	成功，允许操作
1	错误（仅展示给用户）
2	拦截操作，stderr 反馈给 Claude

在 Claude Code 里验证安装：运行 /hooks 确认 hooks 已加载，/skills 查看 skills。
用上仓库里的其他内容：两个 skill（生成规范化提交信息的 commit-messages、做漏洞检查的 security-audit）和三个命令（/new-project、/security-check、/pre-commit）。

技巧

合并而不是覆盖：如果你已经有 settings.json，README 说要手动合并 hooks 段落，而不是整个替换文件。
templates 目录还带全局 CLAUDE.md 和项目级 starter——指南第 1 部分讲的就是把全局文件用作安全守门人。
每个任务开新会话；README 的研究表格就是理由。
想要横幅里那个独立包，README 给出了 npm install -g @thedecipherist/mdd && mdd install。

何时不用这个 Skill

V2 这个标记就是边界：要最新指引，README 自己重定向到 V5 文章、Starter Kit 和 MDD 包。把这个仓库当作可直接取用的 hook 脚本与模板来源，在团队标准化之前先看它链接的更新材料。

查看排行榜了解更多 skill。