datahogo

---

Data Hogo を選ぶ理由

多くのセキュリティスキャナーは、リポジトリへのアクセス権を渡すよう求めます。Data Hogo は求めません。お使いのマシン上だけで動作する CLI です。ファイルをローカルで読み取り、脆弱性を検出して、ターミナルに表示します。何もアップロードされません。アカウントも登録も不要で、信頼するサーバーもありません。ソースコードをここで確認できます。

実際のプロジェクトを開発しているものの、セキュリティの専門家ではない開発者やバイブコーダー向けに作られています。検出結果を平易な言葉で説明し、必要に応じてご自身のAIキーを使って修正案を生成します。

npx datahogo

これだけです。プロジェクトを指定すれば、現在のディレクトリをスキャンします。

クイックスタート

# Scan the current directory
npx datahogo

# Scan a specific path
npx datahogo scan ./my-app

# Fail CI if there are high-severity findings
npx datahogo scan --fail-on high

# Output SARIF for GitHub Code Scanning
npx datahogo scan --sarif > results.sarif

毎回 npx を使いたくない場合は、グローバルにインストールしてください。

npm install -g datahogo
datahogo scan

チェック項目

Data Hogo は技術スタックを自動検出し、対応するアナライザーを実行します。JavaScript／TypeScript エコシステムのカバレッジが最も充実しており、その他の言語では、重要度の高いチェック項目を厳選して実行します。

スタック	検出される項目の例
JavaScript / TypeScript	Node、Next.js、React、Express、Fastify、NestJS — インジェクション、XSS、eval、安全でない設定、脆弱な依存関係、漏えいしたシークレット
Python	Django の DEBUG、ハードコードされた SECRET_KEY、ワイルドカードの ALLOWED_HOSTS、認証設定がない Flask／FastAPI、脆弱なパッケージ
Go	SQL インジェクション、コマンドインジェクション、脆弱な暗号化、ハードコードされた認証情報
Java / Kotlin	認可設定のない Spring エンドポイント、安全でないデシリアライズ、XXE、SQL インジェクション
PHP / Laravel	マスアサインメント、SQL インジェクション、安全でないファイル処理
C# / .NET	[Authorize] の欠落、BinaryFormatter によるデシリアライズ、XXE、脆弱なハッシュ化
モバイル	React Native、Expo、Flutter/Dart — 安全でないストレージ、ハードコードされたシークレット
Supabase	行レベルセキュリティの不備、公開されたサービスキー、安全でないポリシー

シークレット検出と依存関係スキャンは、言語を問わずすべてのプロジェクトで実行されます。

オプション：より詳細な分析

業界標準のツールを 2 つインストールすると、分析をさらに強化できます。Data Hogo はこれらがなくても問題なく動作します。その場合は組み込みのチェックを使用し、不足しているツールをお知らせします。

datahogo doctor   # shows what's installed and how to add the rest

• Semgrep — JS／TS 向けの AST ベースのルールを約 250 個追加
• Gitleaks — 包括的なシークレット検出ルールセット

AI による説明と修正（ご自身のキーを使用）

すべての検出結果には、平易な言葉による説明と修正案が最初から含まれています。Claude による、より詳細でコンテキストに応じた修正案の生成を希望する場合は、ご自身の Anthropic API キーを設定してください。API 呼び出しはお使いのマシンから Anthropic に直接送信され、料金はお客様に請求されます。こちらでキーを見ることはありません。

export ANTHROPIC_API_KEY=sk-ant-...
datahogo scan --explain

CI での使用

GitHub Action

# .github/workflows/security.yml
name: Security
on: [push, pull_request]
permissions:
  contents: read
  security-events: write
jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: datahogo/datahogo@main
        with:
          fail-on: high

検出結果はリポジトリの Security タブに自動的に表示されます。すべての入力値（path、url、upload-sarif）については、action.yml をご覧ください。

その他の CI

Data Hogo は、選択した重大度以上の問題が見つかるとゼロ以外の終了コードを返すため、あらゆるパイプラインにそのまま組み込めます。

- run: npx datahogo scan --fail-on high --sarif > results.sarif
- uses: github/codeql-action/upload-sarif@v3
  if: always()
  with:
    sarif_file: results.sarif

SARIF の出力は、リポジトリの Security タブに表示されます。

コマンドとオプション

datahogo [scan] [path]        Scan a directory (default: current directory)
datahogo doctor               Check optional external tools

  --json                      Machine-readable JSON output
  --sarif                     SARIF 2.1.0 (GitHub Code Scanning)
  --fail-on <severity>        Exit 1 if findings >= critical|high|medium|low
  --url <url>                 Also scan a deployed URL (headers, SSL, CORS)
  --explain                   AI explanations (requires ANTHROPIC_API_KEY)
  --all                       Include informational / non-production findings
  --help, --version

Claude Code、Cursor、または Claude Desktop（MCP）から使用する

@datahogo/mcp は同じスキャンエンジンを MCP ツールとして公開するため、エージェントはプロジェクトをスキャンしたり、特定の検出結果を取得したり、デプロイ済みの URL をチェックしたり、Supabase／Firebase のルールをレビューしたりできます。さらに、説明や修正も自ら作成でき、AI の利用料金はかかりません。

claude mcp add datahogo -- npx -y @datahogo/mcp

Cursor やその他の MCP クライアントでは、同じコマンド npx -y @datahogo/mcp を stdio トランスポートで指定してください。

ツール：scan_project、get_finding、scan_url、check_db_rules。

Claude Code で特に軽量に使いたい場合は、代わりに Claude Code skill をインストールしてください。エージェントに npx datahogo scan --json を実行して出力を解釈する方法を教えるだけなので、MCP サーバーの プロセスは必要ありません。

npx skills add datahogo/datahogo/skills/datahogo

Data Hogo Cloud

CLI は無料で、今後もずっと無料です。スキャン履歴、コミットをまたいだ検出結果の追跡、自動修正プルリクエスト、定期スキャン、チームダッシュボードを利用したい場合は、Data Hogo Cloud が同じエンジンを基盤としてこれらを提供します。CLI の利用に Data Hogo Cloud は必要ありません。

コントリビューション

課題やプルリクエストを歓迎します。特に、あらゆる言語に対応した新しい検出ルールは大きな助けになります。スキャンエンジンは packages/core に、CLI は packages/cli にあります。

git clone https://github.com/datahogo/datahogo.git
cd datahogo
npm install
npm run build
npm test

プロジェクトを支援する

Data Hogo は無料のオープンソースです。脆弱性を含んだままリリースするのを防げた場合は、プロジェクトへのスポンサーをご検討ください。支援金は新しい検出ルールの開発に充てられ、プロジェクトの継続を支えます。

ライセンス

AGPL-3.0 © Data Hogo。自由に使用、閲覧、実行、改変できます。改変版をネットワークサービスとして提供する場合は、同じライセンスのもとでソースコードを公開する必要があります。

---

Data Hogo について

ほとんどのセキュリティスキャナーは、リポジトリへのアクセスを求めます。Data Hogo は求めません。すべてローカルマシン上で実行されるコマンドラインツールです。ファイルをローカルで読み込み、脆弱性を見つけて、ターミナルに表示します。何もアップロードされません。アカウントも登録も不要で、信頼すべきサーバーもありません。コードはここに公開されており、誰でも読むことができます。

実際のプロジェクトをリリースしているものの、セキュリティの専門家ではない開発者やバイブコーダー向けに作られています。検出結果をわかりやすい言葉で説明し、希望すれば自分自身のAI キーを使って修正案を作成します。

npx datahogo

使い方はこれだけです。プロジェクトを指定して、現在のディレクトリをスキャンします。

クイックスタート

# Escanear el directorio actual
npx datahogo

# Escanear una ruta específica
npx datahogo scan ./mi-app

# Romper el CI si hay hallazgos de severidad alta
npx datahogo scan --fail-on high

# Generar SARIF para GitHub Code Scanning
npx datahogo scan --sarif > results.sarif

毎回 npx を使いたくない場合は、グローバルにインストールしてください。

npm install -g datahogo
datahogo scan

チェック内容

Data Hogo はスタックを自動検出し、該当するアナライザーを実行します。JavaScript／TypeScript エコシステムをより深くカバーしており、その他の言語では精度の高いチェックを厳選して実行します。

スタック	検出例
JavaScript / TypeScript	Node、Next.js、React、Express、Fastify、NestJS — インジェクション、XSS、eval、安全でない設定、脆弱な依存関係、漏えいしたシークレット
Python	Django の DEBUG、ハードコードされた SECRET_KEY、ワイルドカード指定の ALLOWED_HOSTS、認証のない Flask／FastAPI、脆弱なパッケージ
Go	SQL インジェクション、コマンドインジェクション、脆弱な暗号化、ハードコードされた認証情報
Java / Kotlin	認可のない Spring エンドポイント、安全でないデシリアライゼーション、XXE、SQL インジェクション
PHP / Laravel	マスアサインメント、SQL インジェクション、安全でないファイル処理
C# / .NET	[Authorize] の欠落、BinaryFormatter によるデシリアライゼーション、XXE、脆弱なハッシュ化
モバイル	React Native、Expo、Flutter／Dart — 安全でないストレージ、ハードコードされたシークレット
Supabase	Row Level Security の不備、公開されたサービスキー、安全でないポリシー

シークレット検出と依存関係スキャンは、言語を問わずすべてのプロジェクトで実行されます。

オプション：さらに詳しく分析する

業界標準のツールをインストールしていれば、追加の詳細な分析ができます。Data Hogo はこれらがなくても問題なく動作します。組み込みのチェックを使い、見落としている点を知らせます。

datahogo doctor   # muestra qué tienes instalado y cómo agregar lo demás

• Semgrep — JS/TS 向けの AST ベースの追加ルール約 250 個
• Gitleaks — 包括的なシークレット検出ルールセット

AI による説明と修正（API キーはご自身で用意）

検出結果にはすべて、平易な言葉での説明と標準の修正案が付属します。Claude が生成する、より詳細でコンテキストに応じた修正案が必要な場合は、ご自身の Anthropic API キーを設定してください。呼び出しはお使いのマシンから Anthropic に直接送信され、料金はご自身に請求されます。当社がそれを見ることはありません。

export ANTHROPIC_API_KEY=sk-ant-...
datahogo scan --explain

CI で使う

GitHub Action

# .github/workflows/security.yml
name: Security
on: [push, pull_request]
permissions:
  contents: read
  security-events: write
jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: datahogo/datahogo@main
        with:
          fail-on: high

検出結果は、リポジトリの Security タブに自動的に表示されます。すべてのオプション（path、url、upload-sarif）については、action.yml をご覧ください。

その他の CI

Data Hogo は、選択した重大度の問題を検出すると 0 以外の終了コードを返すため、あらゆるパイプラインに組み込めます。

- run: npx datahogo scan --fail-on high --sarif > results.sarif
- uses: github/codeql-action/upload-sarif@v3
  if: always()
  with:
    sarif_file: results.sarif

SARIF の結果は、リポジトリの Security タブに表示されます。

コマンドとオプション

datahogo [scan] [ruta]        Escanea un directorio (por defecto: el actual)
datahogo doctor               Revisa las herramientas externas opcionales

  --json                      Salida JSON legible por máquina
  --sarif                     SARIF 2.1.0 (GitHub Code Scanning)
  --fail-on <severidad>       Sale con 1 si hay hallazgos >= critical|high|medium|low
  --url <url>                 Escanea también una URL desplegada (headers, SSL, CORS)
  --explain                   Explicaciones con AI (requiere ANTHROPIC_API_KEY)
  --all                       Incluye hallazgos informativos / no productivos
  --help, --version

Claude Code、Cursor、または Claude Desktop から使う（MCP）

@datahogo/mcp は、同じスキャンエンジンを MCP ツールとして公開します。そのため、エージェントはプロジェクトをスキャンしたり、特定の検出結果を調べたり、デプロイ済み URL を確認したり、Supabase/Firebase のルールを監査したりできます。また、AI の利用料をかけずに、エージェント自身が説明と修正案を作成できます。

claude mcp add datahogo -- npx -y @datahogo/mcp

Cursor やその他の MCP クライアントでは、同じコマンド npx -y @datahogo/mcp を指定してください。トランスポートは stdio です。

ツール：scan_project、get_finding、scan_url、check_db_rules。

Claude Code 専用の、より軽量な方法をご希望ですか？代わりに Claude Code スキル をインストールしてください。エージェントに npx datahogo scan --json の実行方法と出力の解釈方法を教えるだけで、 MCP サーバープロセスは必要ありません。

npx skills add datahogo/datahogo/skills/datahogo

Data Hogo Cloud

CLI は無料で、今後もずっと無料です。スキャン履歴、コミット間の検出結果の追跡、自動修正のプルリクエスト、定期スキャン、チームダッシュボードが必要な場合は、Data Hogo Cloud が同じエンジンを基盤にこれらを提供します。CLI の利用に Data Hogo Cloud は必要ありません。

貢献

Issue やプルリクエストを歓迎します。特に、あらゆる言語の新しい検出ルールは大変価値があります。スキャンエンジンは packages/core に、CLI は packages/cli にあります。

git clone https://github.com/datahogo/datahogo.git
cd datahogo
npm install
npm run build
npm test

プロジェクトを支援する

Data Hogo は無料のオープンソースです。脆弱性の公開を防ぐのに役立った場合は、プロジェクトへのスポンサーをご検討ください。新しい検出ルールの開発資金となり、プロジェクトの継続を支えます。

ライセンス

AGPL-3.0 © Data Hogo。自由に使用、閲覧、実行、改変できます。改変版をネットワークサービスとして提供する場合は、同じライセンスのもとでコードを公開する必要があります。