mcpField
C
code-review-security

code-review-security

github.com/owaspセキュリティ208419 回インストール2 週間前に更新
リポジトリ

code-review-security について

開発者やレビュアー向けのセキュリティコードレビュースキルです。脆弱性の種類とフレームワーク別の確認を体系化し、根拠、深刻度、修正案を含む指摘をまとめます。

主な機能

  1. 01範囲と信頼境界の評価
  2. 02脆弱性分類ごとのレビュー
  3. 03フレームワーク別チェック
  4. 04PR 差分を対象にした分析
  5. 05修正案と確信度を含む指摘

活用シーン

  1. 01プルリクエストのコード変更レビュー
  2. 02アプリケーションのセキュリティ評価
  3. 03深刻度順のレビュー結果の作成

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/owasp/secure-agent-playbook --skill code-review-security

インストール後、Claude Code で/code-review-securityを入力して読み込まれたか確認します。

詳細

セキュリティコードレビュー

plays/code-review-security.md の全手順に従って、コードにセキュリティ上の脆弱性がないかレビューします。

手順

  1. スコープとコンテキスト — 言語／フレームワーク、信頼境界（サーバー／クライアント／ライブラリ／CLI）、データの機密性（PII、認証情報、金融情報）、公開範囲（インターネット向け、内部向け、ローカル）を確認します。

  2. 脆弱性クラスごとの体系的なレビュー（優先順位順）：

    • インジェクション（A03） — SQL、コマンド、XSS、SSTI、LDAP、パストラバーサル、ヘッダー、ログインジェクション
    • 認証とセッション（A07） — ハードコードされた認証情報、認証の欠如、脆弱なセッション、JWT の問題
    • 認可（A01） — 認可チェックの欠如、IDOR、水平／垂直権限昇格
    • 暗号化（A02） — 脆弱なアルゴリズム、ハードコードされた鍵、暗号化の欠如、独自の暗号化処理
    • データ漏えい（A01） — エラー／ログ内の機密データ、コード内の認証情報、デバッグモード
    • 設定ミス（A05） — デフォルトの認証情報、過度に許可的な CORS、セキュリティヘッダーの欠如
    • デシリアライゼーション（A08） — 信頼できないデシリアライゼーション、整合性チェックの欠如、CSRF 対策の不足

  3. フレームワーク固有のチェック — 検出したフレームワーク（React、Express、Django、Flask、Spring、Rails、Go）に応じたチェックを適用します。

  4. 差分固有の分析（PR の場合）— 変更行とその周辺に注目し、セキュリティ制御が維持されていることを確認します。新しいエンドポイントが認証パターンに合致しているかをチェックし、削除されたセキュリティ制御がないか確認します。

  5. 指摘事項の作成 — ファイル名と行番号を示し、脆弱なコードを提示して、攻撃シナリオを説明し、修正後のコードを提示して、確信度を評価します。

出力

スコープの概要、templates/finding.md を使用して重大度順に並べた指摘事項、良好なセキュリティ制御に関する肯定的な所見、重大度別の件数表を含めます。

OWASP リファレンス

  • OWASP Top 10（2021）：A01-A10
  • OWASP ASVS v5.0
  • OWASP Code Review Guide
  • OWASP Cheat Sheet Series

コメント

Markdown 対応