博客 · 2026-11-07

Claude Code 安全检查清单：装 skill、插件、mod，或在 clone 的仓库里打开之前查什么

一页 Claude Code 检查清单，每一条都有数据撑：我们审过的 5,036 个 skill、2,688 个插件、891 个 mod 和 41,142 个项目 skill。最后更新：2026 年 11 月 7 日。

概述

最后更新：2026 年 11 月 7 日。 我们发布新的审查，或者 Claude Code 改了这些功能的工作方式时，会更新这一页。

往 Claude Code 里加任何东西之前，花两分钟看看决定它能运行什么的那几个文件。这一页把这些检查放在一起，每条一句，分四种情况：装 skill、装插件、装 mod，以及在 clone 来的仓库里打开 Claude Code。

原因很简单。这四样都可能在你的机器上运行代码或预先放行工具，而绝大多数时候，它们做的正是自己说的事。下面这些检查，就是几分钟内分清两者的办法。每条后面都链到我们统计过它有多常见的那篇审查。

这四件事里，你最常做的是哪一件？从那一节开始看。

打开 SKILL.md，看里面有没有真正的步骤。 只有一行、只指向另一个文件，或者是读不了的密文，就说明没什么可装的。光这一条，就能拦下我们审核剔掉的 317 个里的 128 个（skill 审核）。
在里面搜网址、API key 和注册链接。 剔掉的 317 个里，有 65 个主要是把人引到付费接口或广告（skill 审核）。
想想它在你的机器上能不能用。 写死的路径、别人的 Slack 频道，说明这是一份个人配置；剔掉的 317 个里有 46 个是这样（skill 审核）。
找到 SKILL.md 点名的脚本，在里面搜 curl、requests、fetch、rm -rf 和 pip install。 我们目录里 19.4% 的 skill 会让 Claude 跑附带脚本，5.4% 带着会联网的脚本（附带脚本）。
读 allowed-tools，单写一个 Bash 就是那一轮里任何 shell 命令都不问你。 目录里 4.6% 的 skill 预先放行了任意 Bash 命令（附带脚本）。
搜 !`，它会在 skill 载入时执行命令。 目录里 0.8% 的 skill 这样做（附带脚本）。

读 hooks/hooks.json，先看 SessionStart 和 Setup，以及它们调用的脚本。 它们在会话开始时运行，输出会成为 Claude 的上下文；16.0% 的活跃插件仓库带着这样的钩子（插件）。
读 .mcp.json，找没写版本的 npx 或 uvx 服务器。 没写版本时，插件一点不改也可能跑起另一套代码；样本里用 npx 启动的服务器有 65% 没写版本（插件）。
看看 bin/，它会被加进 Claude 运行命令的那个 shell 的 PATH。 9.5% 的活跃插件仓库带着它（插件）。
装之前用 claude --plugin-dir <插件文件夹> plugin details <插件名> 列出全部内容。 它只读文件，不开会话（插件）。
想好要不要自动更新，因为更新可能改掉你审过的文件。 优先用把每个插件钉到某个 commit 的市场（插件）。

跑 claude plugin validate ./这个-mod，读 calls: 那一行。 它只读代码，不运行；39% 的公开 mod 会启动程序，11% 会联网（mod 审查）。
读 hooks: 那一行，tool.call 后面没有过滤条件，就是每一次工具调用都经过它。 36% 的公开 mod 是这样，25% 看得到你发的提示词（mod 审查）。
如果挂了 tool.check，找到它返回 allow 的地方，看它放行了什么。 891 个公开 mod 里有 11 个会替你批准工具调用，都带条件（mod 审查）。

列出 .claude/skills/，把文件夹名和你要敲的命令对一对。 和内置命令同名的项目 skill 会替换掉它；6.3% 的活跃仓库有叫 review、code-review 或 security-review 的（项目 skill）。
读每个 skill 的 allowed-tools，不管你信不信任这个文件夹，它都生效。 12.6% 的活跃仓库带着预先放行任意 Bash 命令的项目 skill（项目 skill）。
在 skill 里搜 !`，它会在 skill 载入时执行命令。 2.8% 的活跃仓库有（项目 skill）。
只想看一眼，就用 claude -p --bare 或 --setting-sources user 启动，不加载项目的 skill、钩子和 .mcp.json。 两者都出自官方权限文档（项目 skill）。

上面每个数字都出自下面五篇审查之一。我们只把文件当文本读，什么都没运行；每篇都写了样本和局限。

审查	读了什么	日期
我们审了 783 个新的 Claude Code skill，317 个没进目录	目录里原来没有的 783 个 skill	2026 年 11 月 6 日
五分之一的 Claude Code skill 会跑附带脚本	目录里的 5,036 个 skill，以及剔掉的 317 个	2026 年 11 月 6 日
装之前我们读了 891 个公开的 Claude Code mod	283 个活跃仓库里的 891 个 mod	2026 年 11 月 6 日
在别人的仓库里打开 Claude Code 之前，先看看它的 .claude/skills 文件夹	2,427 个活跃仓库里的 41,142 个项目 skill	2026 年 11 月 6 日
Claude Code 插件在你打字之前会运行什么	1,961 个活跃仓库里的 2,688 个插件	2026 年 11 月 6 日

这些比例说的是公开文件能做什么。我们读到的几乎都是作者在配置自己的工作流，检查清单的作用，是让你很快确认这一点。

星数和文件数。热门仓库照样带着演示和测试文件，一个有几十个文件的 skill 或插件也可能毫无问题。要看的是 SKILL.md 的 frontmatter、hooks/hooks.json、.mcp.json 和 claude plugin validate 的输出。

想要已经过了这些检查的 skill，AgentCraft skills 目录收录了 5,101 个 Claude Code skill，每个社区 skill 收录前都经过审核。