Claude Code 插件生态系统的爆发式扩张
进入2026年，Anthropic 官方支持的 Claude Code 插件规范已演进至 v1.2。Plugin Marketplace 上的公开插件数量截至4月已超过420个，甚至出现了以个人开发者副业形式、每月收入达数千美元的维护者。尤其是「将自己的工作流分享给他人」的文化已扎根落地，达到了与 GitHub Actions 生态系统类似的成熟阶段。
插件大致可分为四类：斜杠命令（如 /loop、/review 等交互型）、MCP 服务器（外部工具整合）、钩子（自动化触发器），以及子 Agent 定义文件。将这些组合使用，可将整个开发工作流以声明方式打包。
三款值得关注的插件
get-shit-done 是最受热议的工作流类插件。其机制是让 Claude 管理 TODO 列表，并通过 Stop 钩子自动检测「未完成事项」。注册在 .claude/settings.json 中的 Stop 钩子，会在会话结束前检查未完成任务，若需继续处理则再次注入提示词。
simplify 是检查改动后代码复杂度的审查类插件，可自动检测圈复杂度（cyclomatic complexity）、重复逻辑与未使用的导入。通过 PostToolUse 钩子在 Edit/Write 操作后立即运行，超过阈值时自动提出重构建议。在大规模重构项目中的效率改善效果显著。
ultrareview 是以 Pull Request 为单位自动化代码审查的子 Agent 型插件。接收 `gh pr diff` 的输出，从安全性、性能、可维护性三个维度生成审查报告。内部并行启动多个子 Agent，整合各视角的审查结果。
自定义插件的创建方式
插件基本上只需在 .claude/plugins/<name>/ 目录下放置 manifest.json、commands/*.md、hooks.json、mcp.json 即可成立。在 manifest.json 中声明插件名称、版本、入口点，在 commands 目录下放置 Markdown 文件，斜杠命令便会自动注册。
若内置 MCP 服务器，则在 mcp.json 中填写 stdio 启动命令。Node.js 推荐使用 npx，Python 推荐使用 uvx。重要的是「避免依赖启动命令的绝对路径」。发布至 Plugin Marketplace 时，需在多种环境下运行，因此只允许使用能通过 PATH 解析的命令名称。
钩子在 hooks.json 中注册 PreToolUse、PostToolUse、UserPromptSubmit、Stop、SessionStart 各触发器。通过 JSON Schema 指定 matcher（工具名的正则表达式）与 command（执行的 Shell 命令），熟悉 GitHub Actions 工作流语法的用户可以直观地编写。
Shell 执行插件的安全性
插件可执行任意 Shell 命令这一特点，是生态系统中最大的风险因素。实际上，2026年2月发生过恶意 MCP 服务器通过外部 POST 传输 .ssh/id_rsa 的安全事件，Anthropic 在 v1.2 中追加了强制沙箱模式。
重要的防御措施有三点。第一，通过 allowed_commands 白名单限制执行范围：在 prePlugin 中声明允许的命令集合，拦截其他 Shell 调用。第二，通过 network_access 标志限制外部通信：仅在必要时以 opt-in 方式启用。第三，要求对插件 Manifest 进行签名（兼容 Sigstore），使作者身份与完整性可验证。
KGA 在内部插件发布前，会通过静态分析扫描 exec/spawn/curl/wget，发现危险模式则让 CI 失败。对于个人开发者容易忽视的「通过环境变量泄露机密信息」问题，也会并用在环境变量访问时发出警告的 linter。
插件设计最佳实践
最重要的一点是不要在单个插件中塞入过多功能。像 get-shit-done 那样职责明确的小型插件相互组合，对用户而言在理解与维护两方面都更为容易。manifest.json 的 description 字段应具体描述使用场景，开头第一句话能让人明白自动化了什么内容，这是合适的粒度。
此外，钩子处理必须设计为幂等的。PostToolUse 钩子即便被重复执行也应保证安全，持有状态的处理需在 .claude/state/ 目录下放置锁文件进行排他控制。尤其是在多实例运行时，同时触发钩子容易产生破坏性行为。
最后不要忘记插件本身的测试。可通过 `claude --plugin-test <path>` 执行 dry-run，将其纳入 CI，在合并至 main 分支前进行验证。插件文化的成熟，有赖于社区自律保障质量的机制建设。