开发者核查 891 个 Claude Code 模组的权限声明

2026 年 11 月 6 日，DEV Community 上一位开发者撰文介绍，他克隆了 891 个公开的 Claude Code 模组，并逐一运行 claude plugin validate 读取各模组的权限声明。文中称，分析发现多数模组申请的访问范围超出简单状态栏功能所需，且模组运行时不做隔离、会继承用户权限，因此建议在安装前先检查 calls 和 hooks 两行：calls 行说明模组能触及哪些内容，包括文件、程序、网络和环境变量；hooks 行说明模组能看到什么，包括每一次工具调用、每一条提示以及已保存的对话。

文中还称，该命令只读取代码而不执行，因此可用于尚不信任的模组。文章同时提到，模组随 Claude Code 2.1.287 引入，时间是 10 月（年份与具体日期原文未写全）。

这是目前关于这件事的唯一报道，核查结果本身没有更详细的分项数据，后续也暂无进展。