Wtyczka security-guidance - kontrola przy pisaniu

security-guidance to wtyczka, która sprawdza zmiany kodu Claude’a pod kątem typowych podatności podczas pracy i może naprawić wykryte problemy w tej samej sesji. Kontrola obejmuje między innymi podatności związane z injection, niebezpieczną deserializacją i niebezpiecznymi API DOM. Po zainstalowaniu wtyczka uruchamia się automatycznie, więc nie trzeba wywoływać osobnej komendy do przeglądu.

W sesji terminalowej można ją zainstalować z oficjalnego marketplace poleceniem /plugin install security-guidance@claude-plugins-official. Podczas instalacji terminal prosi o wybór zakresu; zakres użytkownika zapisuje wtyczkę w ustawieniach użytkownika, aby ładowała się w każdej nowej lokalnej sesji na tym komputerze. Aby włączyć ją we wspólnych lokalnych sesjach zespołu, można zadeklarować ją w śledzonym w repozytorium pliku ustawień projektu.

Dodatkowy kontekst dla przeglądu można umieścić w .claude/claude-security-guidance.md, opisując po ludzku model zagrożeń i listę kontrolną. Wtyczka dołącza te wskazówki do wbudowanej listy kontrolnej podatności, a znalezione naruszenia przedstawia Claude’owi jako ustalenia do naprawienia. Możesz na przykład opisać zakaz logowania danych klienta na poziomie INFO lub wyższych oraz wymagany mechanizm porównywania tokenów.

Ważne ograniczenie: wskazówki nie są deterministycznymi zabezpieczeniami, a wtyczka nie blokuje zapisów ani nie gwarantuje wykrycia każdego naruszenia. Wskazówki są dodatkiem — reguła nakazująca ignorowanie klasy podatności nie wycisza wykryć dotyczących tej klasy. Jeśli potrzebujesz twardego egzekwowania reguł, połącz wtyczkę z hookiem blokującym edycję albo kontrolą CI.

/plugin install security-guidance@claude-plugins-official

{
  "enabledPlugins": {
    "security-guidance@claude-plugins-official": true
  }
}

# Security guidance for this repo

- Do not log `customer_id` or `account_number` at INFO level or above.
- All routes under `/admin` must call `require_role("admin")` before any database read.
- Use `crypto.timingSafeEqual` for token comparison instead of `===`.