#!/usr/bin/env python3
import json
import re
...

chmod +x ~/.claude/hooks/block-dangerous-bash.py

{

골치 아픈 부분은 이 두 가지를 같은 스크립트 내에서 어정쩡하게 혼합했을 때의 동작입니다. exit code 2로 종료하면서 동시에 stdout에도 JSON을 작성했던 경우, JSON 쪽의 `permissionDecision`은 평가되지 않고 exit code 쪽의 판정이 우선되었습니다. **둘 중 하나의 방식에 통일하는 것**이 안전하며, 상세한 이유 문구를 반환하고 싶다면 JSON 방식을, 단순히 막기만 하면 된다면 exit code 2로 충분합니다.

대화 세션에서는 `permissionDecision: "ask"`를 반환하면 사람에게 확인 다이얼로그가 나타납니다. 하지만 `claude -p "..."`와 같은 헤드리스(headless) 실행에서는 확인할 상대가 없기 때문에, `ask`는 **자동으로 deny로 처리됩니다**. '회색 지대 명령어는 ask로 설정하여 인간의 판단을 구한다'라는 설계라면, 무인 실행 시 예상치 못하게 전부 차단되어 어려움을 겪을 수 있습니다. 무인 작업에서 사용할 hook은 `ask`를 사용하지 않고, `allow` 또는 `deny`의 이진(binary)으로 판정을 작성하는 설계로 하는 것이 사고가 없습니다. `PreToolUse`는 '도구 실행 전'에, `PostToolUse`는 '도구 실행 후'에 발동합니다. lint나 타입 체크를 자동으로 돌리고 싶다면 `PostToolUse`(Write/Edit 후에 발동)를, 실행 자체를 멈추고 싶다면 `PreToolUse`라는 구분이 있습니다. 같은 hook 메커니즘이라도 이벤트가 다르면 용도가 완전히 다르므로, 'hook을 설정했다'는 사실만으로 안심하지 말고, 어떤 이벤트에 등록했는지 매번 확인하는 습관을 들이는 것이 좋습니다.

- 
`PreToolUse` hook에서는 Bash 명령어를 실행하기 전에 검사하여 위험한 패턴을 자동으로 차단할 수 있습니다. 블록 방식은 exit code 2와 JSON 출력을 두 가지 종류로 혼합하지 않고 통일해야 합니다.
- `matcher`는 도구 이름만 대상으로 하며, 명령어 문자열의 판정은 직접 작성해야 합니다. 헤드리스 실행에서는 `ask`가 자동으로 `deny`가 되므로, 무인 작업에서는 `allow`/`deny`의 이진 설계로 해야 합니다. 도입 후에는 `claude --debug`로 실제 판정 로그를 확인한 후에 운영에 적용하는 것이 안전합니다.