Claude Code 在 MCP / Hooks / Slash Commands 上的权限与凭证暴露风险

风险描述

Claude Code 通过 MCP 接入外部工具、用 Hooks 在生命周期事件上挂接自动化脚本、用 Slash Commands 封装项目级命令，这些都是把"便利"和"权限面"同时放大的接口。任何在 MCP 服务端配置、Hook 脚本或 Slash Command 里写入的凭证（如 API Key、Cookie、个人访问令牌）都可能被无意提交到仓库、被 Agent 复述，或随日志泄露到外部服务。

橙皮书教程把"对外部命令、文件写入和网络访问保留权限边界"反复作为基本原则写入，但仍需要使用者在每一次新增 MCP 服务、Hook 脚本或 Slash Command 时单独管理凭证与权限。

触发场景

• 在 MCP 服务配置中直接写入 API Key、Cookie 或访问令牌
• 在 Hooks 脚本里硬编码账号、数据库连接串或第三方回调地址
• 在 Slash Commands 中通过提示词注入外部请求，并把响应直接写回项目文件
• 把 CLAUDE.md、Hook 脚本或 MCP 配置不加脱敏地提交到 Git 仓库
• 在多 Agent / Subagent 协作中，子 Agent 也能读取到主 Agent 的凭证上下文

后果

• 仓库历史中泄露凭证，被自动化扫描器抓取并滥用
• Hooks 触发时调用了未授权的命令，破坏本地文件或外部资源
• MCP 工具被恶意服务端利用，使 Agent 执行非预期的网络请求或写入
• Slash Commands 把包含敏感信息的参数记录到日志

缓解与检查点

• 凭证放在环境变量或系统密钥管理器，不写入项目内文件或提示词
• MCP / Hooks / Slash Commands 的配置文件在 .gitignore 中，或使用模板与变量替换
• 给每个外部工具维护最小权限的独立账号，避免与个人主账号共用
• 在把仓库公开前，扫描历史提交中的 KEY、TOKEN、SECRET 等关键字
• 子 Agent 应只看到完成当前任务所需的最小上下文，而不是主 Agent 的全部凭证

来源边界

本风险页基于橙皮书（claude-code-orange-book（Claude Code 橙皮书仓库））中关于权限与凭证边界的方法论整理；具体命令与界面在不同版本可能变化，建议结合 Claude Code 当前版本文档复核。