security-prompts

セキュリティプロンプトテンプレートライブラリ

目的

このスキルでは、Secure Vibe Coding の方法論に沿った、すぐに使えるセキュリティプロンプトテンプレートを提供します。各テンプレートには、完全なセキュリティ制御、テストチェックリスト、カスタマイズのガイダンスが含まれています。

このスキルを使うタイミング

次の場合にセキュリティプロンプトテンプレートを使用します。

• 機能の構築：フォーム、API、ファイルアップロード、管理パネル
• 認証の実装：RBAC、権限、所有権の確認
• セキュリティレビュー：脅威モデリング、コードレビュー、OWASP 準拠
• テスト：セキュリティテストの生成、脆弱性評価

ライブラリの構成

📁 プロンプトエンジニアリングテンプレート（8 個）

場所：.claude/skills/security/security-prompts/prompt-engineering/

安全な機能を実装するための包括的なプロンプトです。

1. 01_secure_form.md - セキュリティ対策一式を備えた公開フォーム

   • トリガー：「secure form」、「contact form」、「public form」
   • 制御：CSRF、レート制限、XSS 対策、入力検証

2. 02_authenticated_endpoint.md - 認証済みユーザーによるデータ変更

   • トリガー：「authenticated endpoint」、「user update」、「protected route」
   • 制御：認証、認可、所有権の確認

3. 03_public_endpoint.md - ページネーションに対応した公開 API

   • トリガー：「public API」、「public endpoint」、「GET endpoint」
   • 制御：レート制限、入力検証、ページネーション

4. 04_admin_action.md - 監査ログを備えた管理者専用機能

   • トリガー：「admin endpoint」、「admin feature」、「admin action」
   • 制御：RBAC、監査ログ、認可

5. 05_file_upload.md - 安全なファイル処理

   • トリガー：「file upload」、「image upload」、「file handling」
   • 制御：ファイル形式の検証、サイズ制限、マルウェアスキャン

6. 06_composable_middleware.md - 複数のセキュリティレイヤー

   • トリガー：「middleware」、「security layers」、「composable security」
   • 制御：適切なミドルウェアの順序、レイヤーの組み合わせ

7. 07_new_control.md - セキュリティアーキテクチャの拡張

   • トリガー：「new security control」、「custom middleware」、「security utility」
   • 制御：再利用可能な新しいセキュリティユーティリティの作成

8. 08_security_testing.md - 包括的なセキュリティテスト

   • トリガー：「security testing」、「security tests」、「test security」
   • 制御：すべてのセキュリティ制御に対する自動テストの生成

📁 脅威モデリングテンプレート（8 個）

場所：.claude/skills/security/security-prompts/threat-modeling/

セキュリティ分析とレビューのためのプロンプトです。

1. 01_stride_analysis.md - STRIDE 脅威モデルの完全な作成

   • トリガー：「STRIDE」、「threat model」、「security analysis」

2. 02_feature_threats.md - 機能固有の脅威分析

   • トリガー：「feature threats」、「analyze feature security」

3. 03_architecture_impact.md - アーキテクチャ変更によるセキュリティへの影響

   • トリガー：「architecture security」、「security impact」

4. 04_code_review.md - セキュリティ脆弱性のレビュー

   • トリガー：「security review」、「code review」、「vulnerability review」

5. 05_security_tests.md - 自動セキュリティテストの生成

   • トリガー：「generate security tests」、「security test suite」

6. 06_owasp_check.md - OWASP Top 10 への準拠

   • トリガー：「OWASP」、「OWASP check」、「OWASP compliance」

7. 07_payment_security.md - 決済セキュリティ（Clerk Billing + Stripe）

   • トリガー：「payment security」、「Stripe security」、「billing security」

8. 08_update_model.md - 機能追加後の脅威モデルの更新

   • トリガー：「update threat model」、「refresh threat model」

📁 認証と認可のテンプレート（4 件）

場所：.claude/skills/security/security-prompts/auth-authorization/

認証とアクセス制御に関するプロンプト：

1. 01_rbac_implementation.md - ロールベースのアクセス制御

   • トリガー：「RBAC」、「ロールベースのアクセス」、「ユーザーロール」

2. 02_permissions.md - 詳細な権限システム

   • トリガー：「権限」、「権限システム」、「きめ細かなアクセス制御」

3. 03_ownership.md - リソース所有権の確認

   • トリガー：「所有権」、「所有権の確認」、「リソースの所有権」

4. 04_auth_testing.md - 認可テスト

   • トリガー：「認証テスト」、「認可テスト」、「権限のテスト」

📁 組み込み制御のテンプレート（3 件）

場所：.claude/skills/security/security-prompts/built-in-controls/

既存の Secure Vibe Coding OS ユーティリティを使用するシンプルなプロンプト：

1. 01_contact_form.md - セキュリティを備えた簡単なお問い合わせフォーム

   • トリガー：「お問い合わせフォーム」、「シンプルなフォーム」

2. 02_authenticated_update.md - ユーザーデータの変更

   • トリガー：「プロフィールの更新」、「ユーザー情報の更新」

3. 03_public_api.md - 公開 GET エンドポイント

   • トリガー：「公開 API」、「読み取り専用 API」

セキュリティプロンプトの使用方法

基本的な使用手順

1. 必要なものを特定する（例：「安全なお問い合わせフォームが必要です」）
2. テンプレートを探す（トリガーを使うか、カテゴリを参照します）
3. テンプレートを読んでセキュリティ制御を理解する
4. プロンプトをコピーしてカスタマイズする（具体的なニーズに合わせます）
5. Claude Code でプロンプトを実行する
6. テスト用チェックリストを使って検証する

テンプレートへのアクセス手順

ユーザーからセキュリティ実装を求められた場合：

**Recommend the appropriate template:**

"I'll use the [TEMPLATE_NAME] security prompt template for this.

**Template**: `.claude/skills/security/security-prompts/[category]/[file].md`

**Security Controls Applied**:
- [List controls from template]

**Customizations needed**:
- [List what to customize]

Let me load the template and customize it for your needs..."

Then read and apply the template.

プロンプトの組み合わせ

多くの機能では、複数のプロンプトが必要です：

例：管理者ダッシュボード

1. まず：auth-authorization/01_rbac_implementation.md（RBAC が未設定の場合）
2. 次に：prompt-engineering/04_admin_action.md（管理者機能ごと）
3. テスト：prompt-engineering/08_security_testing.md
4. レビュー：threat-modeling/04_code_review.md
5. 更新：threat-modeling/08_update_model.md

例：ユーザープロフィールの編集

1. 実装：prompt-engineering/02_authenticated_endpoint.md
2. 所有権チェックを追加：auth-authorization/03_ownership.md
3. テスト：auth-authorization/04_auth_testing.md

プロンプトテンプレートの形式

各テンプレートは次の構成に従います：

# [Template Name]

**Category**: [Category]
**When to Use**: [Scenario]
**Module**: [Course module]
**Time to Implement**: [Estimate]

## Security Controls Applied
[Checklist of security features]

## The Prompt
[Copy-paste ready prompt with placeholders]

## Customization Tips
[How to adapt for specific needs]

## Testing Checklist
[Verification steps]

## Related Prompts
[Links to complementary templates]

## Version History
[Change tracking]

セキュリティアーキテクチャとの統合

すべてのプロンプトで Secure Vibe Coding OS を参照します：

• アーキテクチャ：@docs/security/SECURITY_ARCHITECTURE.md
• ユーティリティ：/lib ディレクトリ（withCsrf、withRateLimit、validateRequest など）
• ベースライン：OWASP スコア 90/100
• スタック：Next.js、Clerk、Convex、Stripe

プロンプトには必ずアーキテクチャへの参照を含めてください：

Reference: @docs/security/SECURITY_ARCHITECTURE.md

エージェントの使用手順

セキュリティに特化したエージェント（security-scanner、threat-modeler など）がプロンプトテンプレートを必要とする場合：

// Agent can reference specific templates
"Use the STRIDE analysis template from .claude/skills/security/security-prompts/threat-modeling/01_stride_analysis.md to create a threat model"

// Or request template by trigger
"Apply the secure form security prompt template to implement this contact form"

スキルの連携

このスキルは、他のセキュリティスキルと連携します：

• security-awareness/* - 脆弱性の理解
• csrf-protection - CSRF の実装に関する詳細
• rate-limiting - レート制限のパターン
• input-validation - 入力検証の戦略
• auth-security - Clerk 認証
• security-testing - テスト手法

シナリオ別クイックリファレンス

「次のものを追加したい……」

「……お問い合わせフォーム」 → built-in-controls/01_contact_form.md

「……ユーザープロフィールの編集」 → prompt-engineering/02_authenticated_endpoint.md → 次に：auth-authorization/03_ownership.md

「……管理者機能」 → auth-authorization/01_rbac_implementation.md（必要な場合） → 次に：prompt-engineering/04_admin_action.md

「……ファイルのアップロード」 → prompt-engineering/05_file_upload.md

「……公開 API」 → built-in-controls/03_public_api.md

「次のものをレビューしたい……」

「……デプロイ前のセキュリティ」 → prompt-engineering/08_security_testing.md → threat-modeling/04_code_review.md

「……OWASP への準拠」 → threat-modeling/06_owasp_check.md

「……決済セキュリティ」 → threat-modeling/07_payment_security.md

「作成したいもの…」

「…脅威モデル」 → threat-modeling/01_stride_analysis.md

「…ロールベースのアクセス制御」 → auth-authorization/01_rbac_implementation.md

「…セキュリティテスト」 → prompt-engineering/08_security_testing.md

ベストプラクティス

必ずカスタマイズする

• プレースホルダーを具体的な値に置き換えます
• ユースケースに合わせてレート制限を調整します
• データに合わせて検証ルールを変更します

必ずテストする

• 各テンプレートのテストチェックリストを使用します
• デプロイ前にセキュリティテストを実施します
• すべての制御が想定どおりに機能することを確認します

脅威モデルを必ず更新する

• 機能を追加するたびに更新します：threat-modeling/08_update_model.md
• docs/security/THREAT_MODEL.md を維持します
• 脅威モデルにバージョンを付けます（v1.0、v1.1 など）

適切な順序で組み合わせる

• 認証 → 認可 → 所有権
• 実装 → テスト → レビュー
• 機能 → 脅威分析 → モデル更新

関連ファイル

各カテゴリには、次の内容を含む独自の SKILL.md があります：

• 詳細なトリガーキーワード
• カテゴリ固有のガイダンス
• テンプレートの説明
• 使用パターン

関連テンプレートに直接アクセスする：

Read: .claude/skills/security/security-prompts/[category]/[template].md

エージェント統合の例

# Security Implementation Agent

When implementing security features:

1. **Identify feature type** (form, API, auth, etc.)
2. **Load appropriate security-prompts skill template**
3. **Customize template** with user's specific requirements
4. **Generate secure implementation** following template
5. **Apply testing checklist** from template
6. **Recommend related prompts** for complete security

Use security-prompts skill as the authoritative source for implementation patterns.

バージョン履歴

v1.0（2025-10-23）：security-prompts ライブラリから初期スキルを作成

• 23 個のプロンプトをスキルテンプレートに変換
• 4 つのカテゴリに整理
• 自動有効化のためのトリガーキーワードを追加
• Secure Vibe Coding OS アーキテクチャと統合

関連スキル

• course-lesson-builder - これらのプロンプトを使用したコースコンテンツの作成
• security/* - 実装に重点を置いたすべてのセキュリティスキル
• security-awareness/* - 脆弱性パターンの理解

メンテナンスに関する注意事項

新しいセキュリティプロンプトを追加する場合：

1. 適切なカテゴリのサブディレクトリにテンプレートファイルを追加します
2. 新しいテンプレート情報をカテゴリの SKILL.md に追加します
3. このメイン SKILL.md のクイックリファレンスを更新します
4. 関連するトリガーキーワードを追加します
5. 関連するプロンプトにリンクします
6. テンプレートにバージョンを付けます

---

使用方法：ユーザーがセキュリティ実装、脅威モデリング、または特定のトリガーについて言及した場合、このスキルを有効にして適切なテンプレートのガイダンスを提供し、ニーズに合ったセキュリティプロンプトを案内します。