Hooks as Approval Gates (Stage 5: Deploy)

1. Bắt đầu: Hooks làm Approval Gates

Trong Stage 3: Build, hooks đóng vai trò guardrails tự động (allow/block) không cần con người can thiệp. Ngoài ra, hook có thể tạm dừng để hỏi (ask), kích hoạt Approval Gates (cổng phê duyệt của con người), chờ người có thẩm quyền phê duyệt trước khi tiếp tục — đáp ứng yêu cầu release gating trong Stage 5: Deploy.

2. Sơ đồ luồng: PreToolUse Interceptor & Approval Gates

Cơ chế PreToolUse interceptor (chốt chặn kiểm soát lệnh trước khi thực thi) chặn lệnh bash, đối chiếu chính sách doanh nghiệp, kích hoạt Approval Gates (cổng phê duyệt của con người) và ghi log OpenTelemetry:

3. Điều kiện tiên quyết & Hạ tầng

• Prerequisites: Không có.
• Hạ tầng quy trình: Danh sách bằng văn bản các phê duyệt con người bắt buộc trong quy trình thay đổi.

4. Các bước thực thi: 4 bước thiết lập

4 bước triển khai các cổng phê duyệt kiểm soát phát hành:

5. Cấu hình Hook trong dự án

Khai báo PreToolUse interceptor (chốt chặn kiểm soát lệnh trước khi thực thi) trong .claude/settings.json của dự án:

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "command": "${CLAUDE_PROJECT_DIR}/.claude/hooks/production-gate.sh"
          }
        ]
      }
    ]
  }
}

Hook script kiểm soát release (.claude/hooks/production-gate.sh):

#!/bin/bash
# Production deploys require a named release authorization
cmd=$(jq -r '.tool_input.command' < /dev/stdin)
if [[ "$cmd" == *"deploy"* && "$cmd" == *"production"* ]]; then
  if [ -z "$RELEASE_APPROVAL" ]; then
    echo "Production deploys need a release authorization." >&2
    exit 2   # exit 2 blocks the action; the message goes to Claude
  fi
fi
exit 0

6. Managed Settings trong doanh nghiệp có kiểm soát

Trong môi trường doanh nghiệp có kiểm soát (regulated enterprise), cấu hình an toàn được triển khai tập trung qua MDM hoặc Admin Console. Kỹ sư không thể chỉnh sửa hay ghi đè:

{
  "permissions": {
    "deny": [
      "Read(.env*)", "Read(./secrets/**)",
      "WebFetch", "Bash(curl *)", "Bash(wget *)"
    ],
    "allow": [
      "Bash(git *)", "Bash(make build)",
      "Bash(make test)", "Bash(make lint)"
    ],
    "disableBypassPermissionsMode": "disable"
  },
  "allowManagedPermissionRulesOnly": true,
  "sandbox": {
    "enabled": true,
    "failIfUnavailable": true,
    "allowUnsandboxedCommands": false,
    "network": { "allowedDomains": ["git.internal.example.com", "registry.npmjs.org"] },
    "credentials": {
      "files": [
        { "path": "~/.ssh", "mode": "deny" },
        { "path": "~/.aws/credentials", "mode": "deny" }
      ],
      "envVars": [ { "name": "GITHUB_TOKEN", "mode": "deny" } ]
    }
  },
  "allowManagedHooksOnly": true,
  "disableSideloadFlags": true,
  "allowManagedMcpServersOnly": true,
  "strictKnownMarketplaces": [
    { "source": "github", "repo": "example-corp/approved-plugins" }
  ],
  "requiredMinimumVersion": "2.1.193"
}

7. Phân tích 8 cơ chế kiểm soát kỹ thuật

8. Kiểm soát & Đo lường hiệu quả

Hooks chính là các Approval Gates (cổng phê duyệt của con người). Điều kiện cổng được thực thi trong mọi trường hợp, cho tất cả mọi người. Các quyết định allow và block đều được ghi log kèm timestamp. Cổng cũng định nghĩa rõ ràng những gì được tính là sự phê duyệt hợp lệ, cho dù đó là một change ticket đã duyệt hay ký duyệt của Release Manager.

Chỉ số Đo lường Hiệu quả

• Leading indicator: Thời gian chờ trên mỗi Approval Gates (cổng phê duyệt của con người). Mọi quyết định hook đều được ghi vào OpenTelemetry export kèm timestamp và phán quyết allow hoặc block, giúp thời gian chờ hiển thị rõ ràng trên từng cổng.
• Lagging indicator: Số vi phạm cổng kiểm soát (gate violations) lọt lên production trước và sau khi triển khai hooks, trích xuất từ hệ thống theo dõi sự cố (incident tracker).