Configure

Configure le plugin sponsio-claude-code pour que les appels d'outils soient protégés par contrat et bloqués

Testé · Fonctionne ★ 8.8/10

Ce que fait

Guide la configuration du plugin sponsio-claude-code afin que ses bibliothèques de contrats protègent réellement les appels d'outils dans une session Claude Code : initialise l'arborescence ~/.sponsio/plugins, installe ou scanne les bibliothèques de règles de démarrage pour les serveurs MCP, ajuste les seuils à l'environnement et exécute un test de fumée de chemin de refus. Se déclenche sur des phrases comme "configure sponsio-claude-code", "set up sponsio", "add Sponsio guardrails for my MCP tools", "the plugin is too strict/too loose", ou "what should sponsio block". Nécessite le sponsio CLI séparé (pip install sponsio) pour fonctionner.

Rapport de test

Installé le vrai sponsio CLI (pip, v0.1.1) dans un venv temporaire et exécuté le flux de la compétence sous un $HOME jetable. Suivant l'étape 1 (`sponsio plugin init`), a écrit ~/.sponsio/plugins/_host/sponsio.yaml et a passé son test de fumée allow+block ; l'étape 5 (`echo '{"hook_event_name":"PreToolUse","tool_name":"Bash","tool_input":{"command":"rm -rf /"}}' | sponsio plugin guard --stdin`) a renvoyé un vrai JSON de refus : permissionDecision "deny", reason "Bash.command must not match forbidden patterns". La BASE (même appel de garde mais SANS l'initialisation de l'étape 1) a renvoyé une sortie standard vide — le `rm -rf /` passe sans protection — prouvant que l'étape de configuration de la compétence est essentielle, exactement comme son introduction l'avertit. Fichiers référencés vérifiés en direct (starter_pack.py:_per_tool_rules à la ligne 199, plugin.json tous HTTP 200) ; aucune faille de sécurité (c'est un outil de garde-fou lui-même, et le §4.5 refuse explicitement d'écrire du YAML pour résister à l'injection). Un décalage de documentation : la compétence vous dit toujours d'exécuter `sponsio plugin init`, mais le CLI affiche maintenant un avis de dépréciation orientant vers `sponsio host install` (docs 4/5). N'a pas exercé les moitiés de scan/extraction LLM et de réglage (étapes 3-4) de bout en bout.

Testé le: 2026-07-21 · Claude Code 2.x (agent harness)

Installation

git clone --depth 1 https://github.com/SponsioLabs/Sponsio.git /tmp/configure-src
mkdir -p ~/.claude/skills
cp -R /tmp/configure-src/plugins/sponsio-claude-code/skills/configure ~/.claude/skills/configure
# REQUIRES the sponsio CLI (the skill is inert without it):
#   pip install sponsio          # PyPI v0.1.1, Homepage points back to this repo
# The skill drives sponsio's plugin runtime: `sponsio plugin init` bootstraps
# ~/.sponsio/plugins/_host/sponsio.yaml, `sponsio plugin guard --stdin` is the hook.
# Full enforcement also needs the sponsio-claude-code PLUGIN installed in Claude Code
# (/plugin install) so the PreToolUse hook is wired; the skill only configures it.

Commandes et exemples de prompts

/configureConfigure le plugin sponsio-claude-code pour que les appels d'outils soient protégés par contrat et bloqués

Les skills se déclenchent sur des demandes en langage courant — aucune commande à retenir. Après installation, des prompts comme ceux-ci l'activent (en anglais) :

Configure Sponsio for my current environment
Set up starter contract libraries for my MCP servers
Finish wiring the Sponsio runtime after install

Rapport complet →