review-security

セキュリティレビュー（内部）

会話内で review-change ／ product-audit が作成します。エージェントは、ルーティングされたステップとしてこのファイルに従ってください。指摘のみ。編集やリファクタリングは行いません。

対象範囲

呼び出し元が指定する差分またはパス／glob。指定がない場合は、デフォルトブランチに対する現在の変更です。返却する表の先頭に対象範囲を記載してください。

チェックリスト（すべての項目を評価してください。省略不可。該当なしの場合はその旨を明記）

✓ コード、設定、テスト、フィクスチャにシークレット／認証情報／トークンがない（キーらしき文字列を差分で grep する） ✓ 変更対象パス上のすべての外部入力が、使用前に検証／サニタイズされている ✓ インジェクションの経路（SQL／コマンド／パス／テンプレート）がない — パラメーター化／エスケープし、連結は決して行わない ✓ 新規または変更されたすべてのエンドポイントまたはエントリーポイントで認証／認可が適用されている（該当箇所を引用） ✓ 変更対象パスで、PII やシークレットがログ／エラーメッセージに出力されない ✓ Webhook／コールバックは処理前に署名を検証する ✓ 新しい公開サーフェスがある場合、レート制限／不正利用対策を検討している（該当するものがなければ該当なし） ✓ 新規／更新された依存関係が固定され、既知の重大なアドバイザリがない（確認方法を記載） ✓ エラーレスポンスでスタックトレースや内部パスが漏えいしない ✓ 信頼できないデータの安全でないデシリアライズ／動的評価がない

重要性の基準

有能なユーザーの結果が変わる場合、またはプロジェクトが明示しているルールに違反する場合に限り、該当するルールを証拠の横に引用して行を報告してください。指摘に含めないもの：コメント／句読点の誤り、書式のみの差異、引用可能なルールのないスタイル上の好み、SPEC が明示するシナリオを超えた仮定上の堅牢性。適切な変更に対する期待結果は Decision: PASS を含む空の表です。表を埋めるためだけに項目を追加してはいけません。

返却内容（厳守）

REVIEW SECURITY — scope: <scope>

| # | Finding | Sev | Evidence | Suggested fix |
|---|---------|-----|----------|---------------|
| 1 | <what>  | critical|major|minor | <file:line> | <smallest action> |

Checklist: <n> evaluated, <n> pass, <n> findings, <n> n/a (<which + why>)
Summary: <1-2 sentences>
Decision: PASS | FAIL

重大または大きな指摘が未解決の場合は FAIL。それ以外は PASS。軽微な指摘はブロック条件になりません。呼び出し元のトリアージステップに回してください。

完了条件

• すべてのチェックリスト項目を、証拠（ファイル：行番号またはコマンド出力）とともに評価するか、理由を添えて該当なしと明記している。
• 上記の固定形式ブロックのみを返し、それ以外は何も返さない。コードは変更していない。