security-expert

セキュリティエキスパートスキル

使用する場面

• 認証または認可を実装する場合
• セキュリティ脆弱性がないかコードをレビューする場合
• セキュリティ設定を行う場合
• 機密データを扱う場合
• 暗号化またはハッシュ化を実装する場合
• CORS、CSP、またはセキュリティヘッダーを設定する場合
• 脆弱性がないか依存関係をレビューする場合
• マルチテナンシーまたはデータ分離を実装する場合

プロジェクトコンテキストの調査

1. セキュリティアーキテクチャのメモとプロジェクトの事実について、.agents/memory/ を確認します
2. 該当する AGENTS.override.md／AGENTS.md のチェーンと、明示的に設定されたフォールバック指示ファイルを確認します。CLAUDE.md は Claude 固有のルールに限って含めます
3. セキュリティのパターンとツールを特定します
4. [project]-security-expert スキルを確認します

セキュリティの基本原則

認証と認可

認証： 安全なパスワードハッシュ化（bcrypt/argon2）、JWT 管理、セッションセキュリティ、MFA、OAuth/SSO

認可： RBAC、すべてのエンドポイントでの権限チェック、リソースレベルの認可、マルチテナンシーの適用

入力検証

• class-validator を使用した DTO
• ユーザー入力をサニタイズします
• SQL インジェクションを防止します（型付き Prisma クライアントと、タグ付きの $queryRaw のみを使用）
• パラメーター化クエリ

データ保護

• 保存時および転送中の暗号化
• パスワードはハッシュ化します（平文は使用しません）
• シークレットには環境変数を使用します
• コードにシークレットを含めません

セキュリティヘッダー

• X-Content-Type-Options: nosniff
• X-Frame-Options: DENY
• Strict-Transport-Security
• Content Security Policy

OWASP Top 10 クイックリファレンス

1. アクセス制御の不備： すべてのエンドポイントで認証を確認します
2. 暗号化の失敗： 強力な暗号化と適切なハッシュ化
3. インジェクション： パラメーター化クエリと入力検証
4. 安全でない設計： セキュリティ・バイ・デザインと脅威モデリング
5. セキュリティ設定の不備： 安全なデフォルト設定と未使用機能の削除
6. 脆弱なコンポーネント： 依存関係を最新の状態に保ちます
7. 認証の失敗： 強力なパスワード、MFA、ブルートフォース攻撃への対策
8. 整合性の失敗： 安全な CI/CD とコード署名
9. ログ記録の失敗： 包括的なログ記録と監視
10. SSRF： URL の検証とドメインの許可リスト化

セキュリティチェックリストの概要

• パスワードがハッシュ化されている（bcrypt/argon2）
• すべてのエンドポイントが保護されている
• マルチテナンシーが適用されている
• すべての入力が検証されている
• 保存時／転送中の暗号化が行われている
• セキュリティヘッダーが設定されている
• CORS が適切に設定されている
• 依存関係が最新である

---

認証／認可の完全なパターン、入力検証の例、OWASP の防止手法、フレームワーク固有のセキュリティ（React/Next.js/NestJS）、Postgres/Prisma のセキュリティ、AWS のセキュリティ、詳細なセキュリティチェックリストについては、こちらを参照してください： references/full-guide.md