Protokoll #3798

{
    "event": "PreToolUse",
    "tool_name": "Edit",
    "tool_input": {
        "file_path": "\/var\/www\/tools\/ki-protokoll\/claude-hook\/block_direct_db.py",
        "old_string": "    r'-p[a-zA-Z0-9_]{6,}',        # -p gefolgt von Passwort (min 6 Zeichen)",
        "new_string": "    r'(?<![a-z-])-p[a-zA-Z0-9_]{6,}',  # -p gefolgt von Passwort, aber nicht nach Buchstaben\/Bindestrich"
    }
}

{
    "tool_response": {
        "filePath": "\/var\/www\/tools\/ki-protokoll\/claude-hook\/block_direct_db.py",
        "oldString": "    r'-p[a-zA-Z0-9_]{6,}',        # -p gefolgt von Passwort (min 6 Zeichen)",
        "newString": "    r'(?<![a-z-])-p[a-zA-Z0-9_]{6,}',  # -p gefolgt von Passwort, aber nicht nach Buchstaben\/Bindestrich",
        "originalFile": "#!\/usr\/bin\/env python3\n\"\"\"\nBlock Direct Database Access Hook\n\nBlockiert direkte mysql\/mariadb-Befehle in Bash.\nErzwingt Nutzung von MCP-DB stattdessen.\n\nTrigger: PreToolUse (Bash)\n\"\"\"\n\nimport json\nimport re\nimport sys\n\n# Patterns die IMMER blockiert werden\nBLOCKED_PATTERNS = [\n    r'\\bmysql\\s+-[up]',           # mysql -u oder mysql -p\n    r'\\bmysql\\s+.*-p\\S',          # mysql mit Passwort direkt nach -p\n    r'\\bmariadb\\s+-[up]',         # mariadb -u oder mariadb -p\n    r'\\bmariadb\\s+.*-p\\S',        # mariadb mit Passwort\n    r'--password=',               # --password=xxx\n    r'\\bmysqldump\\b',             # mysqldump\n    r'\\bmysqlimport\\b',           # mysqlimport\n    r'\\bmysqladmin\\b',            # mysqladmin\n    r'-p[a-zA-Z0-9_]{6,}',        # -p gefolgt von Passwort (min 6 Zeichen)\n]\n\nBLOCK_MESSAGE = \"\"\"BLOCKIERT: Direkter Datenbankzugriff ist verboten!\n\nVerwende stattdessen MCP-DB:\n- mcp__mcp-db__db_select  - für SELECT-Abfragen\n- mcp__mcp-db__db_schema  - für Tabellenstruktur\n- mcp__mcp-db__db_stats   - für Statistiken\n\nNIEMALS Passwörter in Bash-Befehlen verwenden!\"\"\"\n\n\ndef check_command(command: str) -> tuple[bool, str]:\n    \"\"\"\n    Prüft ob ein Befehl blockiert werden soll.\n\n    Returns:\n        (blocked: bool, reason: str)\n    \"\"\"\n    for pattern in BLOCKED_PATTERNS:\n        if re.search(pattern, command, re.IGNORECASE):\n            return True, f\"Pattern matched: {pattern}\"\n\n    return False, \"\"\n\n\ndef main():\n    try:\n        input_data = json.load(sys.stdin)\n    except json.JSONDecodeError:\n        # Kein JSON = kein Hook-Input, durchlassen\n        sys.exit(0)\n\n    # Nur Bash-Tool prüfen\n    tool_name = input_data.get(\"tool_name\", \"\")\n    if tool_name != \"Bash\":\n        sys.exit(0)\n\n    # Command extrahieren\n    tool_input = input_data.get(\"tool_input\", {})\n    command = tool_input.get(\"command\", \"\")\n\n    if not command:\n        sys.exit(0)\n\n    # Prüfen\n    blocked, reason = check_command(command)\n\n    if blocked:\n        # BLOCKIEREN mit Exit-Code 2 und stderr-Nachricht\n        print(BLOCK_MESSAGE, file=sys.stderr)\n        sys.exit(2)\n\n    # Durchlassen\n    sys.exit(0)\n\n\nif __name__ == \"__main__\":\n    main()\n",
        "structuredPatch": [
            {
                "oldStart": 22,
                "oldLines": 7,
                "newStart": 22,
                "newLines": 7,
                "lines": [
                    "     r'\\bmysqldump\\b',             # mysqldump",
                    "     r'\\bmysqlimport\\b',           # mysqlimport",
                    "     r'\\bmysqladmin\\b',            # mysqladmin",
                    "-    r'-p[a-zA-Z0-9_]{6,}',        # -p gefolgt von Passwort (min 6 Zeichen)",
                    "+    r'(?<![a-z-])-p[a-zA-Z0-9_]{6,}',  # -p gefolgt von Passwort, aber nicht nach Buchstaben\/Bindestrich",
                    " ]",
                    " ",
                    " BLOCK_MESSAGE = \"\"\"BLOCKIERT: Direkter Datenbankzugriff ist verboten!"
                ]
            }
        ],
        "userModified": false,
        "replaceAll": false
    }
}