Berechtigungsanfragen per Hook beantworten (PermissionRequest)

01PermissionRequest im Vergleich zu PreToolUse und Notification

Drei Hook-Events haben mit Berechtigungen zu tun, und sie erfüllen unterschiedliche Aufgaben:

Nimm PermissionRequest, wenn es dir um die Prompts selbst geht: sie beantworten, loggen oder irgendwohin schicken. Er feuert sofort, ohne sechs Sekunden Verzögerung. Nimm PreToolUse für Regeln, die für jeden Aufruf gelten sollen, etwa „nie rm -rf ausführen“, denn er läuft auch, wenn gar kein Prompt erscheinen würde. Der Notification hook-Guide erklärt das Timing dieses Events.

02Was der Hook bekommt

Neben den gemeinsamen Feldern bekommt ein PermissionRequest-Hook tool_name und tool_input des Aufrufs, den Claude machen will, sowie ein optionales permission_suggestions-Array:

{
  "session_id": "abc123",
  "cwd": "/Users/...",
  "permission_mode": "default",
  "hook_event_name": "PermissionRequest",
  "tool_name": "Bash",
  "tool_input": {
    "command": "rm -rf node_modules",
    "description": "Remove node_modules directory"
  },
  "permission_suggestions": [
    {
      "type": "addRules",
      "rules": [{ "toolName": "Bash", "ruleContent": "rm -rf node_modules" }],
      "behavior": "allow",
      "destination": "localSettings"
    }
  ]
}

permission_suggestions enthält die Regeländerungen, die Claude Code für diese Anfrage vorschlagen würde. Es ist keine exakte Kopie der Optionen im Dialog, denn jeder Dialog baut seine eigenen Optionen.

03Das Decision-Objekt

Gib eine decision innerhalb von hookSpecificOutput zurück:

Zwei Regeln solltest du dir merken:

• Deny- und Ask-Regeln gelten weiterhin. Ein Hook, der "allow" zurückgibt, setzt keine passende Deny-Regel in deinen Settings außer Kraft, und geänderter Input wird erneut gegen diese Regeln geprüft.
• Exit-Code 2 wird hier ignoriert. Bei den meisten Events blockiert Exit 2, aber ein PermissionRequest-Hook, der ohne decision-Objekt mit 2 beendet, lässt den Prompt unverändert. Wenn du ablehnen willst, gib die Entscheidung zurück.

04Beispiel: einen Prompt automatisch genehmigen

Das Beispiel von Anthropic selbst genehmigt ExitPlanMode, also den Prompt, der erscheint, wenn Claude einen Plan fertig hat – so wirst du nicht jedes Mal gefragt:

{
  "hooks": {
    "PermissionRequest": [
      {
        "matcher": "ExitPlanMode",
        "hooks": [
          {
            "type": "command",
            "command": "echo '{\"hookSpecificOutput\": {\"hookEventName\": \"PermissionRequest\", \"decision\": {\"behavior\": \"allow\"}}}'"
          }
        ]
      }
    ]
  }
}

Halte Matcher eng. Ein leerer Matcher oder .* mit pauschalem Allow würde jeden Prompt genehmigen, inklusive Dateischreibzugriffen und Shell-Befehlen.

05Beispiel: anhand des Befehls entscheiden

Dieses Skript (braucht jq) lehnt alles ab, was git push betrifft, mit einer Begründung, die Claude lesen kann, und überlässt dir alle anderen Prompts, indem es nichts ausgibt:

#!/bin/bash
# ~/.claude/hooks/permission-check.sh
input=$(cat)
cmd=$(jq -r '.tool_input.command // empty' <<<"$input")

case "$cmd" in
  *"git push"*)
    jq -nc '{hookSpecificOutput: {hookEventName: "PermissionRequest",
             decision: {behavior: "deny",
                        message: "Pushing is not allowed from this session. Commit and stop."}}}'
    ;;
esac
exit 0

{
  "hooks": {
    "PermissionRequest": [
      {
        "matcher": "Bash",
        "hooks": [{ "type": "command", "command": "~/.claude/hooks/permission-check.sh" }]
      }
    ]
  }
}

Bau das JSON mit jq statt durch String-Verkettung, damit Anführungszeichen in der Nachricht es nicht kaputt machen. Und stell sicher, dass sonst nichts auf stdout landet. Gibt dein Shell-Profil eine Zeile aus, liest Claude Code die Entscheidung nicht.

06Beispiel: erlauben und für die Session merken

Um eine Anfrage zu genehmigen und zu verhindern, dass Claude bis zum Ende der Session erneut fragt, füge einen updatedPermissions-Eintrag mit destination: "session" hinzu. Ein Hook kann einen der erhaltenen permission_suggestions zurückgeben und nur die Destination ändern:

#!/bin/bash
input=$(cat)
jq -c '{hookSpecificOutput: {hookEventName: "PermissionRequest",
        decision: {behavior: "allow",
                   updatedPermissions: [(.permission_suggestions // [])[]
                                        | select(.type == "addRules")
                                        | .destination = "session"]}}}' <<<"$input"

So wie es dasteht, erlaubt das jede Anfrage, die es sieht – kombiniere es also mit einem engen Matcher. Die Destination kann auch localSettings, projectSettings oder userSettings sein; dann wird die Regel in eine Settings-Datei geschrieben, statt nur im Speicher zu bleiben.

07Oft ist eine Permission-Regel das bessere Werkzeug

Wenn die Antwort immer gleich ist, brauchst du keinen Hook. Schreib die Regel in settings.json, und Claude Code wendet sie an, ohne etwas auszuführen:

{
  "permissions": {
    "allow": ["Bash(npm run *)"],
    "deny": ["Bash(git push *)"]
  }
}

Regeln werden in der Reihenfolge Deny, dann Ask, dann Allow ausgewertet. Ein Hook lohnt sich, wenn die Entscheidung von etwas abhängt, das eine Regel nicht sehen kann – etwa der Uhrzeit, dem aktuellen Branch oder einer Person, die von woanders antwortet. Permission-Modi erklärt behandelt die anderen eingebauten Optionen.

08Typische Stolperfallen

• Nicht-interaktive Läufe. Mit claude -p gibt es niemanden, den man fragen kann. PermissionRequest-Hooks laufen trotzdem, und wenn keiner eine Entscheidung zurückgibt, wird der Aufruf abgelehnt.
• Timeouts. Ein Command-Hook darf standardmäßig bis zu 600 Sekunden laufen, und Claude wartet. Setz timeout (in Sekunden), wenn dein Hook auf etwas Langsames wartet, zum Beispiel auf eine Person.
• Manche Prompts lösen ihn nicht aus. Die Netzwerkanfrage eines Befehls in der Sandbox führt PermissionRequest nicht aus. Nutz dafür den Notification-Typ permission_prompt.
• Sicherheit. Ein Hook, der "allow" zurückgibt, genehmigt Aktionen in deinem Namen mit den Rechten deines Users. Prüf ihn wie jeden anderen Code, der Befehle ausführen kann.

09Wo Claude Code Notifier ins Spiel kommt

Der häufigste Grund für einen PermissionRequest-Hook ist, Prompts zu beantworten, wenn du nicht an der Tastatur sitzt. Eine selbstgebaute Lösung muss die Anfrage irgendwohin schicken, auf eine Antwort warten und sie vor dem Timeout zurückgeben. Das ist machbar, und manche bauen es mit einem Chatbot.

Claude Code Notifier nimmt dir das ab. Das kostenlose Kommandozeilen-Tool ccn läuft auf Mac, Windows und Linux und installiert seine Hooks in ~/.claude/settings.json. Ist die iPhone- oder Android-App gekoppelt, landet eine Permission-Anfrage auf deinem Handy, und du kannst einmal erlauben, für die Session erlauben oder ablehnen; ccn gibt diese Entscheidung aus dem PermissionRequest-Hook zurück. Hast du in den letzten 30 Sekunden getippt, wartet nichts und das Terminal fragt wie gewohnt. Bist du weg, wartet das Terminal auf das Handy bis zu einer von dir gewählten Obergrenze (hold_ceiling_seconds, Standard 600) und hört sofort auf zu warten, sobald du die Tastatur berührst. Es ist unabhängig und nicht von Anthropic. Zum Workflow siehe Permissions vom Handy genehmigen, zur Sicherheit Ist Remote-Freigabe sicher?.

10FAQ