# 方法一：npm 全域安裝（v2.1.113+ 自動下載 native binary）
npm install -g @anthropic-ai/claude-code

# 方法二：直接下載 native binary（推薦，v2.1.113+ 支援）
# 下載位址：https://downloads.claude.ai/claude-code-releases
# macOS / Linux / Windows 均有對應版本

# 驗證安裝
claude --version

# 登入認證
claude login

# 環境健康檢查
claude doctor

1. 開啟 VS Code
2. Extensions（Ctrl+Shift+X）
3. 搜尋 "Claude Code"（發行者：Anthropic）
4. 點擊 Install
5. 重新載入 VS Code
6. 在 Claude Code panel 中完成認證

# 1. Clone claude-howto 到本機參考目錄
git clone https://github.com/luongnv89/claude-howto.git ~/claude-howto

# 2. 一鍵安裝所有範本到專案
cd /path/to/your-project

# 建立目錄結構
mkdir -p .claude/{commands,agents,skills} ~/.claude/{hooks,skills}

# 完整安裝（所有功能）
cp ~/claude-howto/01-slash-commands/*.md .claude/commands/
cp ~/claude-howto/02-memory/project-CLAUDE.md ./CLAUDE.md
cp -r ~/claude-howto/03-skills/* .claude/skills/
cp ~/claude-howto/04-subagents/*.md .claude/agents/
cp ~/claude-howto/06-hooks/*.sh ~/.claude/hooks/
chmod +x ~/.claude/hooks/*.sh

# 3. 個人層級設定
cp ~/claude-howto/02-memory/personal-CLAUDE.md ~/.claude/CLAUDE.md

# Phase 1：Essential（Day 1）
cp ~/claude-howto/02-memory/project-CLAUDE.md ./CLAUDE.md

# Phase 2：Daily Use（Day 2-3）
cp ~/claude-howto/01-slash-commands/*.md .claude/commands/

# Phase 3：Quality（Week 1）
cp ~/claude-howto/04-subagents/*.md .claude/agents/

# Phase 4：Automation（Week 2）
cp ~/claude-howto/06-hooks/*.sh ~/.claude/hooks/
chmod +x ~/.claude/hooks/*.sh

# Phase 5：External（Week 2）
export GITHUB_TOKEN="your_token"
claude mcp add github -- npx -y @modelcontextprotocol/server-github

# Phase 6：Advanced（Week 3）
cp -r ~/claude-howto/03-skills/* ~/.claude/skills/

# Phase 7：Complete（Week 3+）
# /plugin install pr-review

your-project/
├── .claude/
│   ├── commands/              # 專案 Slash Commands（進版控）
│   │   ├── optimize.md
│   │   ├── pr.md
│   │   ├── commit.md
│   │   └── generate-api-docs.md
│   ├── agents/                # 專案 Subagents（進版控）
│   │   ├── code-reviewer.md
│   │   ├── code-architect.md
│   │   ├── test-engineer.md
│   │   ├── secure-reviewer.md
│   │   └── reverse-engineer.md
│   ├── skills/                # 專案 Skills（進版控）
│   │   ├── code-review/
│   │   │   └── SKILL.md
│   │   └── doc-generator/
│   │       └── SKILL.md
│   ├── hooks/                 # 專案 Hook 腳本（進版控）
│   │   ├── validate-bash.py
│   │   └── security-scan.py
│   ├── rules/                 # 模組化規則（進版控）
│   │   ├── coding-style.md
│   │   └── security-rules.md
│   ├── output-styles/         # 自訂輸出格式（進版控）
│   │   └── concise.md
│   ├── settings.json          # 專案設定（進版控）
│   └── settings.local.json    # 本機設定（不進版控）
├── .mcp.json                  # MCP 配置（專案層級，進版控）
├── CLAUDE.md                  # 專案 Memory（核心！進版控）
├── CLAUDE.local.md            # 本機 Memory（不進版控）
├── src/
│   ├── api/
│   │   └── CLAUDE.md          # 目錄級記憶（進版控）
│   └── ...
└── .gitignore

~/.claude/
├── CLAUDE.md                  # 個人偏好與習慣
├── commands/                  # 個人 Slash Commands
├── agents/                    # 個人 Subagents
├── skills/                    # 個人 Skills
├── hooks/                     # 個人 Hook 腳本
├── rules/                     # 個人規則
├── settings.json              # 個人設定（含 hooks 配置）
├── settings.local.json        # 本機設定
├── keybindings.json           # 自訂快捷鍵
├── themes/                    # 自訂主題
└── managed-settings.d/        # 企業管理設定（組織派送）

{
  "permissions": {
    "allow": [
      "Read",
      "Glob",
      "Grep",
      "LS"
    ],
    "deny": [
      "Bash(rm -rf *)",
      "Bash(git push --force)",
      "Bash(git reset --hard)",
      "Bash(drop database)",
      "Bash(drop table)"
    ]
  },
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "command": "python .claude/hooks/validate-bash.py"
          }
        ]
      }
    ],
    "PostToolUse": [
      {
        "matcher": "Write",
        "hooks": [
          {
            "type": "command",
            "command": "python .claude/hooks/security-scan.py"
          }
        ]
      }
    ]
  }
}

# Claude Code 本機設定（不進版控）
.claude/settings.local.json
CLAUDE.local.md

<!-- .claude/commands/optimize.md -->
---
description: "分析並優化指定檔案的效能"
---

請分析以下程式碼的效能問題，並提供優化建議：

1. 時間複雜度分析
2. 空間複雜度分析
3. 潛在的效能瓶頸
4. 具體優化建議與修改後的程式碼

目標檔案：$ARGUMENTS

# Project Memory

## 專案資訊
- 名稱：[專案名稱]
- 技術棧：Java 21 + Spring Boot 3.2 + PostgreSQL 16
- 建置工具：Maven 3.9+
- 部署環境：Kubernetes on AWS

## 編碼規範
- 命名：PascalCase（類別）、camelCase（方法/變數）、UPPER_SNAKE_CASE（常數）
- 方法長度上限：30 行
- 類別長度上限：300 行
- 測試覆蓋率目標：> 80%

## 禁止事項
- 不可使用 `System.out.println`，使用 Log4j2
- 不可硬編碼任何 secret/password/token
- 不可使用 `*` import
- 不可使用 raw SQL，必須用 JPA 或 Prepared Statement

## 常用指令
- 編譯：`mvn compile`
- 測試：`mvn test`
- 包裝：`mvn package`
- 程式碼風格檢查：`mvn checkstyle:check`

## Git 規範
- Branch：feature/xxx、bugfix/xxx、hotfix/xxx
- Commit：Conventional Commits 格式
- PR：需至少 1 位 reviewer approve

.claude/skills/code-review/
├── SKILL.md              # Skill 定義（含 YAML frontmatter）
├── scripts/              # 輔助腳本
│   └── check-style.sh
└── templates/            # 輸出模板
    └── review-report.md

---
name: "code-review"
description: "全面的程式碼品質審查"
autoInvoke:
  - "review this code"
  - "check quality"
  - "程式碼審查"
  - "code review"
effort: "high"
---

# 程式碼審查 Skill

請依照以下標準審查程式碼：

## 審查項目

### 1. 品質（Maintainability）
- 命名一致性、函式長度、DRY 原則、錯誤處理

### 2. 安全（Security）
- SQL Injection、XSS、敏感資料暴露、輸入驗證

### 3. 效能（Performance）
- N+1 查詢、記憶體配置、迴圈效率

### 4. 可維護性（Architecture）
- 單一職責、依賴注入、介面設計

## 輸出格式

### 🔴 Critical（必須修正）
### 🟡 Warning（建議修正）
### 🟢 Info（參考建議）
### 📊 總體評分：X/10

<!-- .claude/agents/secure-reviewer.md -->
---
name: "secure-reviewer"
description: "專注於安全性的程式碼審查代理，檢查 OWASP Top 10 風險"
model: "sonnet-4.6"
tools:
  - Read
  - Glob
  - Grep
  - Bash
disallowedTools:
  - Write
  - Edit
effort: "high"
---

# Security Reviewer Agent

你是一位資安專家，專門負責程式碼安全審查。

## 審查重點

1. **OWASP Top 10** — Injection / Auth / XSS / SSRF / Access Control
2. **輸入驗證** — 白名單驗證、參數化查詢、檔案上傳限制
3. **認證授權** — Session 管理、Token 過期、權限檢查
4. **敏感資料** — 加密儲存、日誌脫敏、回應過濾

## 輸出格式

| 嚴重度 | 檔案:行號 | 問題描述 | CWE | 修復建議 |
|--------|-----------|----------|-----|----------|

{
  "mcpServers": {
    "github": {
      "command": "npx",
      "args": ["-y", "@modelcontextprotocol/server-github"],
      "env": {
        "GITHUB_TOKEN": "${GITHUB_TOKEN}"
      }
    },
    "database": {
      "command": "npx",
      "args": ["-y", "@modelcontextprotocol/server-postgres"],
      "env": {
        "DATABASE_URL": "${DATABASE_URL}"
      }
    }
  }
}

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "command": "python .claude/hooks/validate-bash.py"
          }
        ],
        "if": "tool.command.includes('rm') || tool.command.includes('drop')"
      }
    ],
    "PostToolUse": [
      {
        "matcher": "Write",
        "hooks": [
          {
            "type": "command",
            "command": "bash .claude/hooks/format-code.sh"
          }
        ]
      }
    ],
    "Stop": [
      {
        "hooks": [
          {
            "type": "http",
            "url": "https://audit.company.com/api/log",
            "method": "POST"
          }
        ]
      }
    ],
    "PostCompact": [
      {
        "hooks": [
          {
            "type": "prompt",
            "prompt": "重要提醒：請始終遵守 CLAUDE.md 中的安全編碼規範。"
          }
        ]
      }
    ]
  }
}

#!/usr/bin/env python3
# .claude/hooks/validate-bash.py
"""PreToolUse:Bash hook — 攔截危險的 Shell 指令"""

import sys
import json

BLOCKED_PATTERNS = [
    "rm -rf /", "rm -rf ~", "drop database", "drop table",
    "git push --force", "git reset --hard", "chmod 777",
    "curl | bash", "wget | sh", "> /dev/sda",
]

def main():
    input_data = json.loads(sys.stdin.read())
    command = input_data.get("tool_input", {}).get("command", "")

    for pattern in BLOCKED_PATTERNS:
        if pattern in command.lower():
            print(json.dumps({
                "decision": "block",
                "reason": f"已攔截危險指令：包含 '{pattern}'"
            }))
            sys.exit(1)

    print(json.dumps({"decision": "allow"}))
    sys.exit(0)

if __name__ == "__main__":
    main()

.claude-plugin/
├── plugin.json           # Manifest 檔案（必要）
├── commands/             # Slash Commands
├── agents/               # Subagents
├── skills/               # Skills
├── hooks/                # Hook 腳本
├── mcp/                  # MCP 配置
├── themes/               # 自訂主題（v2.1.118+）
└── scripts/              # 工具腳本

{
  "name": "team-security",
  "version": "1.0.0",
  "description": "團隊安全開發工作流程",
  "author": "Security Team",
  "commands": ["commands/*.md"],
  "agents": ["agents/*.md"],
  "skills": ["skills/*/SKILL.md"],
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [{ "type": "command", "command": "hooks/validate.sh" }]
      }
    ]
  },
  "mcpServers": {
    "security-scanner": {
      "command": "npx",
      "args": ["-y", "mcp-security-scanner"]
    }
  }
}

# 列出已安裝 plugins
/plugin list

# 安裝 plugin
/plugin install <name>

# 移除 plugin
/plugin remove <name>

# 更新 plugin
/plugin update <name>

# 重新載入
/reload-plugins

# 觸發回溯（兩種方式）
# 方式一：按 Esc 兩次
# 方式二：使用指令
/rewind
# 或
/undo    # v2.1.108+ 別名

# 回溯選項
# 1. Restore code and conversation — 恢復程式碼與對話
# 2. Restore conversation — 只恢復對話
# 3. Restore code — 只恢復程式碼
# 4. Summarize from here — 從此處開始摘要
# 5. Never mind — 取消

# 進入 Planning Mode
/plan 設計使用者認證系統

# Claude 會產出詳細實作計畫，不直接修改程式碼
# 審查計畫後再決定是否執行

# 切換 Extended Thinking
# 按 Alt+T (Windows/Linux) 或 Option+T (macOS)
# 啟用後 Claude 會進行更深入的推理

# 在互動模式中切換 Fast Mode
/fast

# 命令列啟用
claude --fast "review this PR"

# 切換至 Fable 5 模型
claude --model claude-fable-5

# 或在 Session 中切換
/model

# 啟用 Auto Mode
claude --permission-mode auto "implement user settings page"

# 或互動式切換（Shift+Tab 循環模式）
# Auto Mode 使用背景安全分類器自動決策權限

# 啟用 Agent Teams
export CLAUDE_AGENT_TEAMS=1

# 或在 settings.json
{ "agentTeams": { "enabled": true } }

# 使用方式
> 請使用 team approach 實作功能 X

# 每 5 分鐘執行一次狀態檢查
/loop 5m /check-status

# 使用 CronCreate 建立持久排程
# 限制：session-scoped、7 天到期、上限 50 個任務

# 基本使用
claude "explain this project"                    # Interactive
claude -p "summarize this file"                  # Print mode
claude -p --output-format json "list functions"  # JSON 輸出
claude -p --max-turns 3 "review code"            # 限制回合

# Permission 控制
claude --permission-mode plan "analyze codebase"
claude --permission-mode acceptEdits "refactor auth"
claude --permission-mode auto "implement feature"

# 模型選擇
claude --model sonnet-4.6
claude --model haiku-4.5

# Piping（管線輸入）
cat error.log | claude -p "explain this error"
git diff | claude -p "review these changes"

# CI/CD 整合
claude -p \
  --permission-mode bypassPermissions \
  --output-format json \
  --allowedTools "Read,Glob,Grep" \
  "review this PR for security issues"

# Bare mode（最小上下文載入，CI 推薦）
claude --bare -p "run tests"

# Batch 處理
for file in *.java; do
  claude -p --output-format json "review: $(cat $file)" > "${file%.java}.review.json"
done

# 列出 Sessions
/session list

# 恢復 Session
claude -r "feature-auth"
/resume

# 分支 Session
/fork

# 重命名 Session
/rename "auth-implementation"

# 轉移到另一台機器
/teleport

// .claude/workflows/security-review.js
export const meta = {
  name: 'security-review',
  description: '對所有變更檔案進行平行安全審查',
  phases: [
    { title: 'Scan',   detail: '找出所有變更檔案' },
    { title: 'Review', detail: '平行安全審查' },
    { title: 'Verify', detail: '確認高嚴重度問題' },
  ],
}

// 取得所有變更的原始碼檔案
const files = await agent('列出此 PR 所有新增或修改的程式碼檔案', {
  label: 'file-scan',
  phase: 'Scan',
  schema: { type: 'object', properties: { files: { type: 'array', items: { type: 'string' } } } }
})

// 平行對每個檔案進行安全審查
const reviews = await pipeline(
  files.files,
  f => agent(`對 ${f} 進行 OWASP Top 10 安全審查`, {
    label: `review:${f}`,
    phase: 'Review',
    schema: { type: 'object', properties: {
      file: { type: 'string' },
      findings: { type: 'array', items: { type: 'object' } }
    }}
  }),
  review => {
    const critical = review.findings.filter(f => f.severity === 'critical')
    if (critical.length === 0) return review
    return parallel(critical.map(f => () =>
      agent(`驗證此安全問題是否為真實漏洞：${f.description}`, {
        label: `verify:${f.cwe}`,
        phase: 'Verify',
        schema: { type: 'object', properties: { confirmed: { type: 'boolean' }, reason: { type: 'string' } } }
      }).then(v => ({ ...f, confirmed: v.confirmed }))
    )).then(verified => ({ ...review, findings: [...review.findings.filter(f => f.severity !== 'critical'), ...verified] }))
  }
)

return { reviews }

# 從 Claude Code 啟動 Workflow（需 ultracode 模式或明確請求）
# 在對話中使用 Workflow tool
# 或透過 CLI 配合腳本執行

> @code-architect 請為使用者管理模組設計 RESTful API，需支援：
  - 使用者 CRUD
  - 角色權限管理
  - JWT 認證
  - 分頁查詢
  
  技術棧：Spring Boot 3.x + PostgreSQL
  請產出 OpenAPI 3.0 規格檔

> 根據上述 API 規格，請生成：
  1. Entity classes（JPA annotations）
  2. Repository interfaces
  3. Service layer（含業務邏輯）
  4. Controller（REST endpoints）
  5. DTO / Request / Response classes
  6. Mapper（MapStruct）
  
  要求：
  - 遵循 Clean Architecture
  - 使用 Bean Validation
  - 錯誤處理用 @ControllerAdvice
  - 使用 Page/Pageable 分頁

> @test-engineer 請為 UserService 撰寫完整的單元測試：
  - 使用 JUnit 5 + Mockito
  - 覆蓋正常路徑與例外路徑
  - 測試分頁邏輯
  - 測試權限驗證
  - 覆蓋率目標 > 80%

> 請為使用者管理建立 Vue 3 元件：
  - Vue 3 Composition API + TypeScript
  - Pinia store + Vue Router
  - Element Plus UI
  - 列表頁（分頁/排序/搜尋）+ 表單頁（驗證）
  - axios 整合（Token 自動附加）

> @secure-reviewer 請審查 src/main/java/com/example/user/ 目錄的安全性
> /pr 準備 Pull Request 描述

# Step 1：使用 Plan mode 安全分析（唯讀）
claude --permission-mode plan

# Step 2：觸發逆向工程分析
> @reverse-engineer 請分析 src/ 目錄下的系統架構：
  1. 辨識分層架構
  2. 列出所有 Controller 及其 endpoint
  3. 列出所有 Service 及其業務邏輯
  4. 列出所有 DB 操作（Repository/DAO）
  5. 畫出模組依賴圖（Mermaid）

# Step 3：業務規則抽取
> @reverse-engineer 請分析 OrderService 中的業務規則：
  1. 訂單狀態轉換邏輯
  2. 金額計算規則
  3. 折扣套用條件
  4. 庫存扣減邏輯
  
  請以表格形式輸出每條 Business Rule

# Step 4：產出技術文件
> @documentation-writer 根據以上分析，產出系統架構文件（ADR 格式）

# Step 1：分析當前狀態
> 請分析專案的 Spring Boot 版本與依賴：
  當前版本、所有 starter、第三方依賴版本、Java 版本、deprecated API 使用

# Step 2：產出升級計畫
> 請產出 Spring Boot 2.7 → 3.2 升級計畫：
  breaking changes、javax→jakarta rename、設定檔變更、風險評估

# Step 3：逐步執行（每步一個 prompt = 一個 checkpoint）
> Phase 1: 更新 pom.xml 版本
> Phase 2: javax → jakarta package rename
> Phase 3: 移除 deprecated API
> Phase 4: 設定檔遷移
> Phase 5: 編譯驗證

# Step 4：失敗回滾
/rewind

> @code-architect 請分析以下單體應用，識別 Bounded Context 並建議微服務拆分方案：

  分析目標：src/ 目錄
  
  要求：
  1. 識別核心領域（Core Domain）與支援領域（Supporting Domain）
  2. 繪製 Context Map（Mermaid）
  3. 建議 3-5 個服務的拆分方案
  4. 評估每個拆分方案的風險與複雜度
  5. 識別共享資料問題（Shared Database Anti-pattern）

> @code-architect 請為微服務間通訊設計 API Contract：

  服務清單：User Service、Order Service、Product Service、Payment Service
  
  要求：
  1. 同步通訊：RESTful API（OpenAPI 3.0 規格）
  2. 非同步通訊：事件驅動（AsyncAPI 規格）
  3. 事件清單：OrderCreated、OrderPaid、OrderCancelled、InventoryReduced
  4. 防腐層（ACL）設計

> 請為 Order Service 生成微服務骨架：

  技術棧：Spring Boot 3.2 + Kafka + PostgreSQL + Docker
  
  包含：
  - main 應用類別與設定
  - Kafka Producer / Consumer 設定
  - OpenAPI Controller 骨架
  - Docker Compose（含依賴服務）
  - Kubernetes Deployment YAML
  - 健康檢查端點（/actuator/health）
  - 分散式追蹤設定（OpenTelemetry）

> @test-engineer 請設計微服務整合測試策略：

  測試類型：
  1. Contract Testing（Pact）
  2. Consumer-Driven Contract
  3. Saga Pattern 測試
  4. 網路故障模擬（Chaos Testing）

## 角色
你是一位 [專業角色]，擅長 [專長領域]。

## 任務
[明確的任務描述]

## 輸入
[輸入內容或檔案路徑]

## 限制條件
- [限制 1]
- [限制 2]

## 輸出格式
[期望的輸出格式]

## 範例
[輸入範例] → [輸出範例]

請為 [模組名稱] 建立 Spring Boot REST Controller：

技術要求：
- Spring Boot 3.2+ / Java 21
- Bean Validation / Pageable 分頁 / ResponseEntity
- @ControllerAdvice 錯誤處理 / OpenAPI 3.0 annotations

API：GET(列表+單筆) / POST / PUT / DELETE

安全：@PreAuthorize / 輸入驗證 / 不回傳敏感欄位

輸出：Controller + DTO + Unit Test

請為 [功能名稱] 建立 Vue 3 元件：

技術：Vue 3 Composition API + TypeScript + Pinia + Element Plus

功能：列表頁(分頁/排序/搜尋) + 表單(驗證) + 刪除確認 + 錯誤處理

API 整合：axios instance + 統一攔截 + Token 自動附加

輸出：List.vue + Form.vue + store.ts + api.ts + types.ts

請分析 [目標目錄/檔案] 的系統架構：

## 分析目標
1. 辨識架構模式（MVC / Layered / Hexagonal）
2. 列出模組與職責
3. 繪製依賴圖（Mermaid）
4. 列出外部整合點
5. 辨識核心業務規則

## 限制
- 唯讀分析，不修改檔案
- 不確定的標註 [待確認]

## 輸出
1. 系統概覽（一段話）
2. 架構圖（Mermaid）
3. 模組清單（表格）
4. 外部整合點（表格）
5. 技術債與風險（條列）

請規劃 [Framework] 從 [舊版] 升級至 [新版]：

產出：
1. Breaking Changes 清單（表格）
2. Deprecated API 盤點（表格）
3. 依賴相容矩陣（表格）
4. 升級步驟（由低風險到高風險）
5. 設定檔變更（diff）
6. 風險評估（表格）
7. 回滾計畫
8. 驗證 Checklist

原則：每步暫停等確認、建立 checkpoint、編譯錯誤優先

請為 [系統名稱] 設計架構：

背景：[業務需求簡述]
限制：語言/框架/DB/環境/流量/SLA

要求：
1. 架構圖（C4 Model）
2. 分層設計（Clean Architecture）
3. API 設計原則
4. DB 設計（ER Diagram）
5. 快取策略 + 安全架構 + 可觀測性 + 錯誤處理 + 部署架構

格式：Mermaid 圖表 + ADR 格式決策記錄 + Trade-offs

#!/usr/bin/env python3
# .claude/hooks/security-scan.py
"""PostToolUse:Write — 寫入檔案後自動掃描敏感資料"""

import sys, json, re, os

SENSITIVE_PATTERNS = [
    (r'password\s*=\s*["\'][^"\']+["\']', "硬編碼密碼"),
    (r'api[_-]?key\s*=\s*["\'][^"\']+["\']', "硬編碼 API Key"),
    (r'secret\s*=\s*["\'][^"\']+["\']', "硬編碼 Secret"),
    (r'jdbc:.*password=[^&\s]+', "JDBC 連線字串含密碼"),
]

def main():
    data = json.loads(sys.stdin.read())
    filepath = data.get("tool_input", {}).get("file_path", "")
    
    if filepath and os.path.exists(filepath):
        with open(filepath, 'r', encoding='utf-8', errors='ignore') as f:
            content = f.read()
        
        findings = []
        for pattern, desc in SENSITIVE_PATTERNS:
            if re.search(pattern, content, re.IGNORECASE):
                findings.append(f"[HIGH] {desc}")
        
        if findings:
            print(json.dumps({
                "message": "⚠️ 安全掃描警告：\n" + "\n".join(findings)
            }))
    sys.exit(0)

if __name__ == "__main__":
    main()

# .github/workflows/security-review.yml
name: AI Security Review

on:
  pull_request:
    types: [opened, synchronize]

jobs:
  security-review:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      
      - name: Claude Code Security Review
        env:
          ANTHROPIC_API_KEY: ${{ secrets.ANTHROPIC_API_KEY }}
        run: |
          npx @anthropic-ai/claude-code -p \
            "請對此 PR 變更進行安全審查，檢查 OWASP Top 10 風險。
             輸出格式：[嚴重程度] 檔案:行號 - 問題 - 修復建議" \
            --permission-mode plan \
            --output-format json \
            --bare

## 安全編碼規範

### 禁止事項
- 不可將密碼/API Key/Token 寫入程式碼
- 不可使用 String concatenation 組合 SQL
- 不可在日誌中輸出敏感資訊
- 不可停用 HTTPS/TLS 驗證
- 不可使用 eval() 或動態執行使用者輸入

### 必要做法
- 所有外部輸入必須驗證（白名單優先）
- 密碼使用 bcrypt（cost ≥ 12）
- API 回應移除敏感欄位
- 例外處理不暴露 stack trace
- 檔案上傳驗證 MIME type 與大小
- 使用參數化查詢（Prepared Statement / JPA）

#!/usr/bin/env python3
# .claude/hooks/iso27001-check.py
"""PostToolUse:Write — ISO 27001 合規性自動掃描"""

import sys, json, re

ISO27001_RULES = [
    (r'log.*password|print.*token|console\.log.*secret', 'A.9.4.3 密碼不得出現在日誌'),
    (r'http://(?!localhost)', 'A.10.1.1 傳輸中資料必須加密（使用 HTTPS）'),
    (r'md5|sha1\b', 'A.10.1.1 禁止使用弱加密演算法（MD5/SHA1）'),
    (r'allowAll|permitAll\(\)', 'A.9.4.1 禁止萬用字元存取控制'),
    (r'TODO.*security|FIXME.*auth', 'A.14.2.1 安全性問題不得以 TODO 形式遺留'),
]

def main():
    data = json.loads(sys.stdin.read())
    filepath = data.get('tool_input', {}).get('file_path', '')
    if not filepath:
        sys.exit(0)

    try:
        with open(filepath, 'r', encoding='utf-8', errors='ignore') as f:
            content = f.read()
    except Exception:
        sys.exit(0)

    violations = []
    for pattern, rule in ISO27001_RULES:
        if re.search(pattern, content, re.IGNORECASE):
            violations.append(f'[ISO 27001] {rule}')

    if violations:
        print(json.dumps({'message': '⚠️ ISO 27001 合規違規：\n' + '\n'.join(violations)}))

    sys.exit(0)

if __name__ == '__main__':
    main()

> @secure-reviewer 請審查此程式碼的 GDPR 合規性：

  審查重點：
  1. 個人資料識別（PII：姓名、Email、IP、Cookie）
  2. 資料最小化原則（是否收集了不必要的資料）
  3. 資料保留期限（是否有明確的刪除機制）
  4. 資料跨境傳輸（是否傳送至 EU 以外）
  5. 同意機制（使用者授權是否明確記錄）
  6. 資料主體權利（DSAR 請求處理流程）

  輸出格式：
  | GDPR 條款 | 風險等級 | 發現問題 | 修復建議 |

# 每月自動生成合規報告
claude -p \
  --permission-mode plan \
  --output-format json \
  "掃描 src/ 目錄，針對 OWASP Top 10、ISO 27001 A.14、GDPR Article 25 生成合規狀態報告。
   輸出：1) Executive Summary 2) 發現清單（依嚴重度）3) 修復優先順序 4) 趨勢分析" \
  > compliance-report-$(date +%Y%m).json

## 合規要求（Compliance）

### GDPR
- 所有 PII 資料欄位需標記 @PersonalData
- 資料保留期限不得超過業務需求
- 日誌不得包含個人識別資料

### ISO 27001
- 傳輸加密：僅允許 TLS 1.2+
- 靜態加密：敏感欄位使用 AES-256
- 存取控制：最小權限原則
- 稽核日誌：所有資料存取需記錄

### SOC 2 Type II
- 變更需有審查記錄（PR Approval）
- 生產存取需有 MFA
- 異常需在 72 小時內通報

1. 開發者完成功能 → 執行 /pr
2. Claude Code 自動觸發：
   ├── @code-reviewer → 品質審查
   ├── @secure-reviewer → 安全審查
   └── PostToolUse Hook → 格式化
3. AI 審查報告附加到 PR Comments
4. 人工 Reviewer 審查 AI 報告 + 人工判斷
5. 確認後 Approve & Merge

# AI 輔助開發使用規範

## 允許
- 程式碼生成（需人工審查）
- 程式碼審查（輔助參考）
- 文件/測試生成
- 重構/效能建議

## 限制（需額外審核）
- DB Schema 變更（需 DBA）
- 安全設定修改（需 Security Team）
- 生產環境操作（僅 plan mode）

## 禁止
- 將程式碼貼到非授權 AI 平台
- 讓 AI 直接存取生產資料庫
- 未經審查直接 merge AI 產出
- 在 Prompt 中包含客戶個資

# 版本管理
git add .claude/commands/ .claude/agents/ .claude/skills/
git commit -m "chore: update Claude Code configs v1.2"
git tag -a claude-config-v1.2 -m "Update security reviewer"

# 整體能力評估（Quick 2 分鐘 / Deep 5 分鐘）
/self-assessment

# 單元測驗（每模組 10 題）
/lesson-quiz slash-commands
/lesson-quiz memory
/lesson-quiz checkpoints
/lesson-quiz cli
/lesson-quiz skills
/lesson-quiz hooks
/lesson-quiz mcp
/lesson-quiz subagents
/lesson-quiz advanced
/lesson-quiz plugins

# 定期同步最新版本
cd ~/claude-howto
git pull origin main

# 查看變更
cat CHANGELOG.md | head -100

# 差異比較（不要直接覆蓋已客製化的設定）
diff ~/claude-howto/04-subagents/code-reviewer.md .claude/agents/code-reviewer.md

# 檢查版本
claude --version

# 升級
npm update -g @anthropic-ai/claude-code
# 或使用 /upgrade

# 查看 Release Notes
/release-notes

# 健康檢查
claude doctor

# 環境健康檢查
claude doctor

# 列出已載入功能
/agents    # 檢查 Subagents
/skills    # 檢查 Skills
/hooks     # 檢查 Hooks
/mcp       # 檢查 MCP Servers
/memory    # 檢查載入的 Memory 檔案

# 檢查檔案位置
ls -la .claude/commands/
ls -la .claude/agents/
ls -la ~/.claude/hooks/

# 驗證 YAML frontmatter
head -20 .claude/agents/code-reviewer.md

# 測試 MCP 連線
echo $GITHUB_TOKEN

# 互動模式切換 Fast Mode
/fast

# CLI 啟用
claude --fast "complex architecture review"