Claude Codeハーネスエンジニアリング実践──PR作成からマージまでを4層防衛で自動化する

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "command": "$CLAUDE_PROJECT_DIR/.claude/hooks/pre-bash-guard.sh"
          }
        ]
      },
      {
        "matcher": "Edit",
        "hooks": [
          {
            "type": "command",
            "command": "$CLAUDE_PROJECT_DIR/.claude/hooks/pre-edit-guard.sh"
          }
        ]
      }
    ],
    "PostToolUse": [
      {
        "matcher": "Edit",
        "hooks": [
          {
            "type": "command",
            "command": "$CLAUDE_PROJECT_DIR/.claude/hooks/post-edit-lint.sh"
          }
        ]
      },
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "command": "$CLAUDE_PROJECT_DIR/.claude/hooks/post-push-monitor.sh"
          }
        ]
      }
    ]
  }
}

#!/bin/bash
# Bashコマンドに渡す内容を標準入力から受け取る
INPUT=$(cat)

# 先送り表現の検出
if echo "$INPUT" | grep -qE "後で対応|次回対応|別のPRで|追って修正|TODO.*後で"; then
  echo "先送り返信を検出しました。以下の2択で対応してください：" >&2
  echo "  1. その場で修正してからコメントに返信する" >&2
  echo "  2. GitHub Issueを作成し、Issue番号を添えて返信する" >&2
  exit 2  # exit 2 でClaudeへのフィードバックとして返す
fi

# 危険なコマンドのブロック
if echo "$INPUT" | grep -qE "git push --force|--no-verify|rm -rf /"; then
  echo "危険なコマンドが検出されました。実行を中止します。" >&2
  exit 2
fi

# PRゲート（pre-push-reviewを通していなければgh pr createをブロック）
if echo "$INPUT" | grep -q "gh pr create"; then
  if [ ! -f ".claude/tmp/.review-passed" ]; then
    echo "/pre-push-review を先に実行してください。" >&2
    echo "レビューを通過するまでgh pr createはブロックされます。" >&2
    exit 2
  fi
fi

#!/bin/bash
FILE=$(echo "$CLAUDE_TOOL_INPUT" | python3 -c "import sys,json; d=json.load(sys.stdin); print(d.get('file_path',''))")

# 保護対象ファイル
PROTECTED=(".claude/settings.json" "lefthook.yml" ".github/workflows")

for p in "${PROTECTED[@]}"; do
  if [[ "$FILE" == *"$p"* ]]; then
    echo "保護対象ファイル ($p) の編集は禁止されています。" >&2
    echo "変更が必要な場合は人間に確認してください。" >&2
    exit 2
  fi
done

#!/bin/bash
FILE=$(echo "$CLAUDE_TOOL_INPUT" | python3 -c "import sys,json; d=json.load(sys.stdin); print(d.get('file_path',''))")

case "$FILE" in
  *.ts|*.tsx)  npx biome check --apply "$FILE" 2>&1 ;;
  *.rs)        cargo clippy -- -D warnings 2>&1 ;;
  *.py)        ruff check "$FILE" 2>&1 ;;
esac

pre-commit:
  parallel: true
  commands:
    fmt:
      run: cargo fmt --check
      fail_text: "フォーマットが崩れています。cargo fmt を実行してください。"
    clippy:
      run: cargo clippy -- -D warnings -D clippy::pedantic
      fail_text: "Clippyエラーがあります。"
    biome:
      run: npx biome check .
      fail_text: "Biomeのチェックが失敗しました。"
    ast-grep:
      run: sg scan --config .ast-grep/rules/
      fail_text: "アーキテクチャ制約違反があります。"

pre-push:
  commands:
    test:
      run: cargo test --workspace

id: no-infra-in-domain
language: rust
rule:
  kind: use_declaration
  regex: "infrastructure"
files:
  - "src/domain/**/*.rs"
severity: error
message: |
  domainレイヤーからinfrastructureをimportしてはいけません。
  WHY: DDDのレイヤー依存ルール違反。domainは外部依存を持たない。
  FIX: domainにトレイトを定義し、infrastructureで実装してください。

---
name: pre-push-review
description: PR作成前の並列レビュー（セキュリティ・品質・複雑度）
---

以下の4つのレビューを並列で実行してください。

## 実行内容

1. **code-simplifier**（サブエージェント）
   - 過剰な抽象化・重複コード・テストされていないコードを検出
   - 自動で単純化できるものは修正する

2. **security-auditor**（サブエージェント）
   - 認証漏れ・OWASP Top 10・入力バリデーション不備を確認
   - HIGH以上の問題は即時修正

3. **coderabbit-cli**（スキル実行）
   - PR作成前にCodeRabbit CLIでレビューを実行
   - 重大な指摘は修正してから次へ進む

4. **security-review**（スキル実行）
   - HIGH CONFIDENCE と判定された脆弱性のみ抽出

## 完了後

すべてのチェックが通過したら `.claude/tmp/.review-passed` を作成してください。
gh pr create が解除されます。

name: CI

on: [push, pull_request]

jobs:
  quality:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Run tests
        run: cargo test --workspace
      - name: Check duplicate code
        run: npx jscpd --min-lines 10 --reporters json
      - name: CodeRabbit review
        uses: coderabbitai/ai-pr-reviewer@latest
        with:
          openai_light_model: gpt-4o-mini

# post-push-monitor hook が起動すると以下を実行

1. gh pr view --json number で最新PRを取得
2. CronCreate で1分間隔の監視を設定:
   "/check-ci-coderabbit PR番号を確認し、CodeRabbitのレビューが
    完了していれば指摘内容を取得して対応を開始してください"
3. CodeRabbitのレビューコメントを取得
4. 指摘への返信前に pre-bash-guard が先送り表現を検出・ブロック
5. その場で修正 or Issue作成してから返信
6. 全コメントに返信完了 → /merge-and-cleanup を実行