生产安全规则

用户1208

5月29日修改

目标读者：在生产环境中部署 Claude Code 的团队。独立学习者：请参见入门指南。​

速览（30 秒）

生产团队的 6 条不可妥协规则：

1.
✅ 端口稳定：绝不更改后端/前端端口​

2.
✅ 数据库安全：破坏性操作前始终备份​

3.
✅ 功能完整：绝不发布半成品功能​

4.
✅ 基础设施锁定：Docker/env 变更需要授权​

5.
✅ 依赖安全：新依赖需获批准​

6.
✅ 遵循模式：符合现有代码库规范​

何时使用这些规则

项目类型

使用这些规则？

原因

学习/教程

❌ 否

对探索过于限制

个人原型

❌ 否

额外开销不值得

小型团队（2-3 人），测试环境

⚠️ 部分

仅规则 1、3、6

生产应用、多开发者团队

✅ 是

全部 6 条规则

受监管行业（HIPAA、SOC2）

✅ 是 + 添加合规规则

关键安全

规则 1：端口稳定

问题所在

更改端口会破坏：

•
本地开发环境​

•
Docker Compose 配置​

•
已部署服务配置​

•
团队成员的设置​

真实事故：重构时后端端口从 3000 改为 8080。所有开发者花了一天时间重新配置本地环境。测试环境部署静默失败，因为 nginx 代理仍指向 3000。​

规则

未经团队明确许可，绝不修改后端/前端端口。

实现方式

方式 A：在 settings.json 中拒绝权限

代码块

{​
  "permissions": {​
    "deny": [​
      "Edit(docker-compose.yml:*ports*)",​
      "Edit(package.json:*PORT*)",​
      "Edit(.env.example:*PORT*)",​
      "Edit(vite.config.ts:*port*)"​
    ]​
  }​
}​
​

方式 B：工具前钩子

代码块

# .claude/hooks/PreToolUse.sh​
if [[ "$TOOL" == "Edit" ]]; then​
    FILE=$(echo "$INPUT" | jq -r '.tool.input.file_path')​
    CONTENT=$(echo "$INPUT" | jq -r '.tool.input.new_string')​
​
    if [[ "$FILE" =~ (docker-compose|vite.config|package.json) ]] && \​
       [[ "$CONTENT" =~ (port|PORT):[[:space:]]*[0-9] ]]; then​
        echo "⚠️ 已阻止：检测到 $FILE 中有端口修改"​
        echo "端口必须保持稳定以便团队协作。请先获得许可。"​
        exit 2​
    fi​
fi​
​

生产安全规则​

生产安全规则