Claude Code生产级审计：PostToolUse钩子实战|code|posttooluse|审计员|操作员

周三下午三点，你的工程师用Claude Code执行了一条Bash命令。三个月后审计员上门，你能准确说出那条命令是什么、操作了哪个仓库、返回码是多少吗？

大多数团队做不到。Claude Code官方文档用两段话带过了PostToolUse钩子，但生产环境的合规审计需要的不只是"能跑起来"的代码。

这是Claude Code生命周期钩子的另一半。PreToolUse是闸门——决定AI能做什么；PostToolUse是记录仪——记录AI实际做了什么。两者共享同样的数据格式，回答的问题截然不同："这件事该不该发生" versus "这件事已经发生了什么"。

对于SOC 2 CC6.1和CC7.2这类访问日志与系统监控控制项，后者才是关键。这些条款要求的是回溯性证据："展示过去90天内你的特权操作员执行了哪些操作"。Claude Code在agentic模式下，按任何合理的解读都是运行在工程师机器上的特权操作员。告诉审计员"我们会查模型的会话记录"，这种回答行不通。

以下是我们部署到Claude Code Max环境中的核心审计钩子，针对过去几个月相邻钩子代码中出现的故障模式设计：

#!/usr/bin/env bash
# PostToolUse: append every tool call as a JSON line.
set -uo pipefail
INPUT=$(cat)
[ -z "$INPUT" ] && exit 0
TS=$(date -u +%Y-%m-%dT%H:%M:%SZ)
TOOL=$(echo "$INPUT" | jq -r '.tool_name // "unknown"')
CMD=$(echo "$INPUT" | jq -r '.tool_input.command // empty')
EXIT_CODE=$(echo "$INPUT" | jq -r '.tool_response.exit_code // 0')
mkdir -p ~/.claude/audit
jq -nc \
--arg ts "$TS" --arg tool "$TOOL" --arg command "$CMD" \
--argjson exit "$EXIT_CODE" \
'{ts: $ts, tool: $tool, command: $command, exit_code: $exit}' \
>> ~/.claude/audit/$(date -u +%Y-%m-%d).jsonl
exit 0