production-code-audit

本番コード監査

詳細ガイド

このスキルを実行する前に、詳細ガイドをお読みください。詳細ガイドには、手順と参考資料がすべて記載されています。安全性、前提条件、検証要件は必須事項として扱ってください。対象を絞って作業する場合は関連セクションを、最初から最後まで作業する場合はガイド全体をお読みください。

このスキルを使用する場面

• ユーザーが「本番環境に対応できる状態にして」と言った場合
• ユーザーが「コードベースを監査して」と言った場合
• ユーザーが「プロフェッショナルな企業レベルの品質にして」と言った場合
• ユーザーが「すべてを最適化して」と言った場合
• ユーザーがエンタープライズグレードの品質を求めている場合
• 本番環境へのデプロイに備える場合
• コードを企業基準に適合させる必要がある場合

実例：クエリの修正

リクエストで指定されたメールアドレスが連結された PostgreSQL クエリで使われている場合、入力を追跡してドライバーを確認し、連結をパラメーターバインド API に置き換えます。

// pg-compatible example; driver and database fixtures must be supplied.
const result = await db.query('SELECT id FROM users WHERE email = $1', [email]);

通常の一致、該当なし、引用符を含む合成入力を検証してください。実際のコマンドと結果を記録し、スニペットだけを根拠にテストが成功したと断言しないでください。認証情報が見つかった場合、ソースから削除しても無効にはなりません。その値をコピーせず、ローテーションと履歴・アーティファクトへの露出について、権限を持つ担当者に報告してください。

出力例（構成の例）

Scope: repository, base/head, files fully read, excluded/unavailable files.
Finding: path:line, trigger, observed behavior, impact and severity rationale.
Repair: minimal change and why it preserves the intended behavior.
Validation: command/environment/result, or explicitly not run with reason.
Remaining gaps: unsupported runtime, unreviewed deployment, external configuration.
Readiness: evidence available and specific unresolved criteria; no blanket certification.

指標はすべて、データセット、環境、ベースラインとヘッドを明記した再現可能な測定に基づく必要があります。スキャナーで検出項目がゼロでも、脆弱性がゼロとは限りません。また、OWASP Top 10 は啓発を目的としたリストであり、「コンプライアンス」認証ではありません。監査の依頼は、デプロイ、テレメトリーやキャッシュのプロビジョニング、または第三者への連絡を許可するものではありません。

制限事項

• このスキルは、タスクが上記の対象範囲に明確に該当する場合にのみ使用してください。
• 出力を、環境固有の検証、テスト、または専門家によるレビューの代替として扱わないでください。
• 必要な入力、権限、安全上の境界、または成功基準が不足している場合は、作業を中止して確認してください。