audit-backend-security

バックエンドのセキュリティレビュー

セキュリティを評価する前に、実際の技術スタックと信頼境界を確認してください。エントリーポイント、認証、認可、機密データ、データベース、アップロード、決済、サードパーティ連携、バックグラウンドジョブ、管理者向けの経路、デプロイ設定を把握してください。クライアントが制御できる値と公開エンドポイントは、信頼できないものとして扱ってください。

ワークフロー

1. 資産、アクター、エントリーポイント、信頼境界、権限の移行を特定します。
2. リクエストまたはイベントの発生元から、検証、認可、ビジネスロジック、データアクセス、レスポンスまたは副作用に至るまで、機密性の高い操作を追跡します。
3. シークレット、認証、トークンまたはセッションのライフサイクル、オブジェクトレベルと機能レベルの認可、入力検証、インジェクション、エラー処理、ログ記録、レート制限、アップロード、Webhook、決済、ジョブ、CORS、ヘッダー、レスポンスのフィルタリングを確認します。
4. 到達可能なコードと既存の制御に照らして、候補となる指摘を検証します。理論上の問題を、確認済みの脆弱性として報告しないでください。
5. 悪用可能性と影響に基づいて指摘の優先順位を付けます。影響を受けるパス、攻撃シナリオ、証拠、安全に実施できる最小限の修正を含めます。
6. ユーザーから変更を求められた場合にのみ修正を実施し、その後、対象を絞ったテストと関連するプロジェクトのチェックを実行します。

ガードレール

• シークレット、トークン、パスワード、機密性の高い設定、非公開のユーザーフィールドを決して公開しないでください。
• クライアントから渡される本人確認情報、ロール、価格、クレジット、所有権、権限を決して信頼しないでください。
• 必要に応じて、正確な未加工のペイロードに対してWebhook署名を検証し、ハンドラーを冪等にしてください。
• UIやルートのグループ化だけでなく、サーバーの操作レベルとオブジェクトレベルで認可を強制してください。
• 高コストな操作とアップロードに上限を設け、種類、サイズ、保存先パス、処理方法を検証してください。
• 本番環境のエラーやログに、認証情報、トークン、個人データ、内部スタックの詳細が含まれないようにしてください。
• 破壊的な操作や本番環境への変更を行う前に、明示的な確認を得てください。

詳細なガイダンス

references/security-guide.mdを読んで、フォルダーごとの完全なチェックリストと、認証、トークン、Cookie、決済、クレジット、アップロード、連携、ジョブ、ログ記録、CORS、データベース、不正利用対策、報告に関する専門的なガイダンスを確認してください。見出しで検索し、関連するセクションだけを読み込んでください。

出力

検証済みの指摘を、重大度の高い順に最初に提示してください。各指摘には、影響を受けるコード、悪用経路、影響、既存の緩和策、修正方法、検証テストを含めます。証拠から対応可能な指摘が裏付けられない場合は、その旨を明記してください。