"Bash(python3:*)" in einer committeten .claude/settings.json ermöglicht es jedem von Claude gelesenen Text, ohne Rückfrage Code auf den Rechnern deiner Teammitglieder ausführen zu lassen. Ein SessionStart-Hook mit curl | bash führt bei jedem Öffnen des Projekts ein entferntes Skript aus. Dieser Skill findet solche und zehn weitere Fehler in Claude-Code-Einstellungen, bevor du sie committest oder ihnen vertraust, und erklärt, wie du sie behebst.

Dein Agent führt einen Scanner für .claude/settings.json und .claude/settings.local.json in jedem Projektordner aus, für ~/.claude/settings.json, wenn du darauf verweist, sowie für managed-settings.json-Dateien. Er berücksichtigt die Regelsyntax von Claude Code: Bash(npm run ) und Bash(npm run:) sind dieselbe Präfixregel, //path ist absolut, während /path innerhalb des Projekts bleibt; nur Read- und Edit-Regeln gleichen Pfade ab, und eine allow-Regel mit * erlaubt nichts. Er liest Hook-Befehle und HTTP-Hooks, Hilfsbefehle wie apiKeyHelper und Sandbox-Einstellungen und listet die .env-Dateien neben jedem .claude-Ordner auf. Er startet niemals Claude Code, Hooks oder MCP-Server. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und sichererem Vorgehen. Geheimnisse werden nie ausgegeben.

Was geprüft wird

BLOCK (vor der Weitergabe beheben)

• CC01: defaultMode auf bypassPermissions gesetzt

• CC02: allow-Regeln, die beliebige Befehle freigeben (Bash, Bash(*), Bash(python:*), Bash(npx ), Bash(git ))

• CC03: curl, wget, scp, ssh, gh api oder gh gist create mit beliebigen Argumenten erlaubt

• CC04: Schlüssel und Tokens in env, apiKeyHelper, Hook-Befehlen oder HTTP-Hook-Headern

REVIEW (vor der Veröffentlichung prüfen)

• CC11: Hooks, die Code herunterladen und ausführen oder Daten an externe Server senden

• CC12: Hooks, die ihre Werkzeugeingaben per eval ausführen oder per Pipe an eine Shell übergeben

• CC13: aktiviertes enableAllProjectMcpServers

• CC14: Dateizugriff auf die gesamte Festplatte, den Benutzerordner, ~/.ssh oder .env-Dateien

• CC15: .env-Dateien, die keine Read-deny-Regel abdeckt

• CC16: für jede Domain erlaubtes WebFetch

• CC17: Sandbox-Ausbrüche (Docker-Socket, alle Unix-Sockets, schwächere verschachtelte Sandbox, weitreichende excludedCommands oder allowWrite)

• CC18: deny-Regeln, die Claude Code nie zuordnet (Write(./.env), /etc/... mit nur einem Schrägstrich)

Das ist enthalten

• Der Scanner (Python 3.9+, ausschließlich Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen zu jeder Regel

• Ein riskantes und ein sicheres Beispielprojekt sowie der tatsächliche Scanner-Bericht zum riskanten Beispiel

Grenzen

Der Scanner liest jede Einstellungsdatei in ihrer vorliegenden Form: Einstellungen, auf die nicht verwiesen wird (Benutzer-, verwaltete, serververwaltete oder --settings-Einstellungen), per Pfad benannte Hook-Skripte, Plugin-Hooks, .mcp.json-Server und CLAUDE.md werden weder zusammengeführt noch gelesen. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 18 Dateien: SKILL.md, der Scanner in scripts/ (3 Python-Dateien), references/rules.md (alle Regeln mit Begründung und sichererem Vorgehen) und examples/ (12 Beispieldateien plus report.md, die tatsächliche Scanner-Ausgabe zum riskanten Beispiel).

So funktioniert es: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke das Archiv in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/) und bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installation. Sie lesen ausschließlich deine Dateien: kein Netzwerkzugriff, keine Datenübertragung.