#!/usr/bin/env bash
# Bezpiecznik 2: agent nie zapisze klucza API ani nie zmieni ustawień i .env
wejscie=$(cat)
plik=$(echo "$wejscie" | jq -r '.tool_input.file_path // ""')
tresc=$(echo "$wejscie" | jq -r '.tool_input.content // .tool_input.new_string // ""')

if [[ "$plik" == *".claude/settings"* || "$plik" == *".env"* ]]; then
  echo "Zablokowane: agent nie zmienia ustawień ani pliku .env." >&2
  exit 2
fi
if echo "$tresc" | grep -qE 'sk-[A-Za-z0-9_-]{20,}|api_key *='; then
  echo "Zablokowane: w treści jest klucz API. Sekrety trzymaj poza repozytorium." >&2
  exit 2
fi
exit 0