Claude Code의 보안 사고를 방지하는 .env 설정 방법 (전체 구성 포함)

1{
2  "permissions": {
3    "deny": [
4      "Read(**/.env*)",
5      "Read(**/.dev.vars*)",
6      "Read(**/*.pem)",
7      "Read(**/*.key)",
8      "Read(**/secrets/**)",
9      "Read(**/credentials/**)",
10      "Read(**/.aws/**)",
11      "Read(**/.ssh/**)",
12      "Read(**/config/database.yml)",
13      "Read(**/config/credentials.json)",
14      "Read(**/.npmrc)",
15      "Read(**/.pypirc)",
16      "Write(**/.env*)",
17      "Write(**/secrets/**)",
18      "Write(**/.ssh/**)"
19    ]
20  }
21}

1# .env.test — 읽어도 안전하고, 유출되어도 안전함
2STRIPE_SECRET_KEY=sk_test_not_a_real_key
3DATABASE_URL=postgres://test:test@localhost:5432/testdb
4OPENAI_API_KEY=sk-test-dummy-key-for-mocking
5AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE
6AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY

1#!/bin/bash
2# .git/hooks/pre-commit — 비밀 정보가 포함된 커밋을 차단합니다
3
4PATTERNS=(
5  'sk-ant-'           # Anthropic API 키
6  'sk-live-'          # Stripe 라이브 키
7  'sk_live_'          # Stripe 라이브 키 (대체 형식)
8  'ghp_'              # GitHub 개인 토큰
9  'gho_'              # GitHub OAuth 토큰
10  'AKIA'              # AWS 액세스 키
11  'xox[bpors]-'       # Slack 토큰
12  'SG\.'              # SendGrid 키
13  'eyJ'               # JWT
14  'BEGIN.*PRIVATE KEY' # 개인 키 자료
15)
16
17BLOCKED_FILES=('.env' 'credentials.json' 'id_rsa' '*.pem' '*.key')
18
19for pattern in "${PATTERNS[@]}"; do
20  if git diff --cached --diff-filter=ACM | grep -qE "$pattern"; then
21    echo "차단됨: '$pattern' 패턴과 일치하는 잠재적 비밀 정보 발견"
22    echo "비밀 정보를 제거하고 다시 시도하세요."
23    exit 1
24  fi
25done
26
27for file in "${BLOCKED_FILES[@]}"; do
28  if git diff --cached --name-only | grep -q "$file"; then
29    echo "차단됨: 민감한 파일 커밋 시도: $file"
30    exit 1
31  fi
32done
33
34echo "Pre-commit 보안 검사 통과."
35exit 0

1# .env 위에 /dev/null을 마운트하여 Claude가 볼 수 없게 함
2docker run -v /dev/null:/app/.env:ro your-dev-container

1{
2  "permissions": {
3    "allow": [
4      "Read",
5      "Glob",
6      "Grep",
7      "LS",
8      "Edit",
9      "MultiEdit",
10      "Write(src/**)",
11      "Write(tests/**)",
12      "Bash(npm run *)",
13      "Bash(npm test *)",
14      "Bash(npx tsc *)",
15      "Bash(git status)",
16      "Bash(git diff *)",
17      "Bash(git log *)",
18      "Bash(git add *)",
19      "Bash(git commit *)"
20    ],
21    "deny": [
22      "Read(**/.env*)",
23      "Read(**/.dev.vars*)",
24      "Read(**/*.pem)",
25      "Read(**/*.key)",
26      "Read(**/secrets/**)",
27      "Read(**/credentials/**)",
28      "Read(**/.aws/**)",
29      "Read(**/.ssh/**)",
30      "Read(**/config/database.yml)",
31      "Read(**/config/credentials.json)",
32      "Read(**/.npmrc)",
33      "Read(**/.pypirc)",
34      "Write(**/.env*)",
35      "Write(**/secrets/**)",
36      "Write(**/.ssh/**)",
37      "Write(.github/workflows/*)",
38      "Bash(rm -rf *)",
39      "Bash(sudo *)",
40      "Bash(git push *)",
41      "Bash(npm publish *)",
42      "Bash(curl * | sh)",
43      "Bash(wget *)",
44      "Bash(chmod *)"
45    ],
46    "defaultMode": "acceptEdits"
47  }
48}