Claude Code ガイド

Appearance

原文（日本語に翻訳） ​

プロジェクト .claude/settings.json のみで有効化された外部プラグインが、すべてのローダーパスで明示的なインストール同意を必要としていなかった問題を修正

原文（英語） ​

Fixed external plugins enabled only by project .claude/settings.json not requiring explicit install consent on every loader path

概要 ​

プロジェクトの .claude/settings.json だけで有効化された外部プラグインが、一部のローダーパスで明示的なインストール同意を求めないままインストールされてしまうセキュリティ上の問題が修正されました。修正後は、外部プラグインは常にすべてのローダーパスで明示的な同意確認を要求するようになります。悪意のあるプロジェクト設定によって、ユーザーが知らないうちに外部プラグインがインストールされることを防ぎます。

基本的な使い方 ​

外部プラグインの管理は /plugin コマンドで行います。

bash
# プラグインの一覧表示
/plugin list

# プラグインを有効化（同意確認が表示される）
/plugin enable plugin-name

# プラグインを無効化
/plugin disable plugin-name

実践例 ​

プロジェクト固有のプラグイン設定 ​

json
// .claude/settings.json
{
  "plugins": {
    "external-plugin-name": {
      "enabled": true
    }
  }
}

修正後は、上記設定があっても初回起動時に同意確認ダイアログが表示されます。

チーム共有プロジェクトでのプラグイン管理 ​

シナリオ: チームメンバーが外部プラグインを含むプロジェクトをクローン

修正前:
1. プロジェクトをクローン
2. .claude/settings.json に外部プラグインが設定されている
3. ❌ 同意確認なしに自動的にプラグインがインストールされる

修正後:
1. プロジェクトをクローン
2. .claude/settings.json に外部プラグインが設定されている
3. ✅ 各メンバーに同意確認ダイアログが表示される
4. ユーザーが明示的に承認した場合のみインストールされる

セキュリティ意識の高い環境での運用 ​

bash
# プラグインの状態を確認して管理
/plugin list

# 不審なプラグインの無効化
/plugin disable unknown-plugin

注意点 ​

  • セキュリティ修正: 悪意のあるプロジェクト設定による自動プラグインインストールを防ぎます
  • 既存の同意済みプラグインには影響しません
  • グローバル設定（~/.claude/settings.json）で有効化されたプラグインには別のフローが適用されます
  • プラグインの同意状態は各ユーザーのローカル設定に保存されます

関連情報 ​