destructive_command_guard

环境要求

• 支持 Claude Code、Codex CLI、Gemini CLI、Cursor、Copilot CLI 等受支持的 AI 智能体之一
• 可用的 curl（Linux/macOS）或 PowerShell（Windows）
• 源码编译安装需要 Rust 与 nightly-2026-08-25 工具链
• Codex CLI 需 0.125.0 及以上版本才支持 PreToolUse 钩子

安装与启动步骤

1. 1一键安装 dcg

   官方推荐方式，脚本自动识别平台、下载二进制、校验 SHA256，并配置各类智能体钩子与 PATH。

   curl -fsSL "https://raw.githubusercontent.com/Dicklesworthstone/destructive_command_guard/main/install.sh?$(date +%s)" | bash -s -- --easy-mode

   复制

2. 2获取 dcg 绝对路径

   钩子里必须写 dcg 的绝对路径，不能写裸命令 dcg，否则非交互 shell 找不到会静默失效。

   command -v dcg

   复制

3. 3配置 Claude Code 钩子

   把 command 换成上一步的真实绝对路径，写入 ~/.claude/settings.json，之后必须重启 Claude Code。

   {
     "hooks": {
       "PreToolUse": [
         {
           "matcher": "Bash|PowerShell",
           "hooks": [
             {
               "type": "command",
               "command": "/absolute/path/to/dcg"
             }
           ]
         }
       ]
     }
   }

   复制

4. 4配置 Codex CLI 钩子

   Codex CLI 0.125.0+ 支持稳定钩子，安装脚本会自动合并，也可手工写入该文件。

   {
     "hooks": {
       "PreToolUse": [
         {
           "matcher": "Bash",
           "hooks": [
             {
               "type": "command",
               "command": "/absolute/path/to/dcg"
             }
           ]
         }
       ]
     }
   }

   复制

5. 5配置 Gemini CLI 钩子

   写入 ~/.gemini/settings.json，注意钩子类型是 BeforeTool、匹配 run_shell_command，保存后重启 Gemini CLI。

   {
     "hooks": {
       "BeforeTool": [
         {
           "matcher": "run_shell_command",
           "hooks": [
             {
               "name": "dcg",
               "type": "command",
               "command": "/absolute/path/to/dcg",
               "timeout": 5000
             }
           ]
         }
       ]
     }
   }

   复制

6. 6修复与自检钩子

   自动把各智能体的钩子补齐为正确匹配器，并就地迁移旧的仅 Bash 条目，避免重复注册。

   dcg doctor --fix

   复制

7. 7源码编译安装(可选)

   需要固定版本复现时使用，先装指定 nightly 工具链，再按 tag v0.7.6 安装。

   rustup toolchain install nightly-2026-08-25
   cargo +nightly-2026-08-25 install --locked --git https://github.com/Dicklesworthstone/destructive_command_guard --tag v0.7.6 destructive_command_guard

   复制

8. 8卸载 dcg

   移除二进制、各智能体钩子、配置与历史数据库，改前会提示确认，可用 --yes 跳过。

   curl -fsSL https://raw.githubusercontent.com/Dicklesworthstone/destructive_command_guard/main/uninstall.sh | bash

   复制

关键配置

如何确认成功

用 command -v dcg 能输出绝对路径，dcg doctor --fix 无报错；重启智能体后执行 git reset --hard HEAD~5 应被拦截。

常见问题

注意事项

• 切记不要以裸命令 dcg 注册安全钩子，必须使用 command -v dcg 得到的绝对路径
• 修改任何智能体的钩子配置后都要重启对应工具才会生效
• 仓库内 .dcg.toml 默认只具备增加强制的权限，需要完全信任时用 DCG_CONFIG=.dcg.toml 显式指定
• 源码安装固定使用 tag v0.7.6 与 nightly-2026-08-25 工具链，不要随意更换版本