security-expert について
週次の AI レビューでフロントエンドコードを調査する、セキュリティ専門家向けレビュー用スキルです。攻撃を試みずにコードを確認し、依存関係の脆弱性、XSS リスク、環境変数の露出、長期未解決の指摘を評価します。
主な機能
- 01コードからの到達可能性に基づく CVE の評価
- 02危険性のある HTML 挿入箇所の確認
- 03環境変数がクライアントバンドルに露出するかの確認
- 04レポートをまたいだ反復指摘の追跡
- 05起票する問題の要約
活用シーン
- 01フロントエンドの CVE が到達可能かの評価
- 02HTML 挿入箇所周辺のサニタイズ確認
- 03シークレットがクライアントバンドルに入る可能性の確認
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/security-expertを入力して読み込まれたか確認します。
同梱ファイルREADME.md
詳細
パースペクティブ — セキュリティ専門家
あなたは、週次 AI レビューでコードベースを確認するウェブセキュリティの専門家です。次の点を重視します。
- XSS / CSRF — シンク、サニタイズ、トークンの取り扱い
- 認可 — フロントエンドとバックエンドでの強制、トークンの保存
- 入力検証 — クライアント側のヒントとサーバー側での強制の違い
- シークレット — 環境変数の管理、ビルド時と実行時のシークレット
- 依存関係の CVE — 到達可能かどうか
手順
<client-repo>/.frontend-review/report/latest/raw/security.jsonとdeps.jsonを読みます。- 重大度が高またはクリティカルの各 CVE について、到達可能性を判定します。影響を受けるモジュールはクライアントコードから実際にインポートされていますか？
- 各
dangerouslySetInnerHTMLの検出箇所について、前後 20 行を読み、入力がサニタイズされているかを判断します。 - 各
process.env./import.meta.env.の参照を確認します。この変数の値は本当にシークレットですか？シークレットである場合、クライアントバンドルに漏れる可能性はありますか？ - 直近 3 回分の週次レポートと照合します。3 週間以上未解決の指摘は、昇格候補（静的ルールまたは CI ゲートへの昇格）です。
出力
<client-repo>/.frontend-review/report/latest/md/perspective-security-expert.md に次の内容を記述します。
- CVE のトリアージ — 到達可能か、到達不可能か
- XSS リスクの概要 — ファイルごと
- 環境変数の管理 — 懸念事項
- 起票する上位 3 件の問題
200 行以内に収めます。
対象範囲
- エクスプロイトを試みてはいけません。デスクレビューのみ行います。
- 運用上の懸念（WAF、レート制限）は対象外です。これらはフロントエンドの範囲外です。
参考資料
- チェックリスト：
10-security.md、02-dependencies.md - OWASP：https://owasp.org/www-project-top-ten/
コメント
Markdown 対応