mcpField
S
security-review

security-review

github.com/dralgorhythmセキュリティ12998 回インストール14 週間前に更新
リポジトリ

security-review について

security-reviewは、チェックリストに基づいてアプリケーションのセキュリティを確認するスキルです。一般的な確認領域や注意すべきコードパターンを扱い、構造化されたレポート形式を備えています。

主な機能

  1. 01認証と認可の確認
  2. 02入力検証と出力エンコードの確認
  3. 03暗号化とエラー処理の評価
  4. 04ログ記録の確認
  5. 05SQLインジェクション、XSS、ハードコードされた秘密情報の検出
  6. 06レポート形式での指摘整理

活用シーン

  1. 01認証とアクセス制御のレビュー
  2. 02一般的な脆弱性パターンの確認
  3. 03エラー処理と機密ログの評価
  4. 04深刻度別の指摘記録

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/dralgorhythm/claude-agentic-framework --skill security-review

インストール後、Claude Code で/security-reviewを入力して読み込まれたか確認します。

詳細

セキュリティレビュー

レビューチェックリスト

認証
  • 強力なパスワード要件が適用されている
  • 機密性の高い操作に MFA が実装されている
  • セッショントークンが暗号学的に安全である
  • セッションタイムアウトが適切である
  • ログアウト時にセッションが適切に無効化される
認可
  • アクセス制御がサーバー側で確認される
  • 最小権限の原則が適用されている
  • ロールベースのアクセス制御が適切に実装されている
  • 直接オブジェクト参照が検証されている
入力検証
  • すべての入力がサーバー側で検証される
  • 入力の型と長さが確認される
  • 特殊文字が適切に処理される
  • ファイルアップロードが検証され、制限されている
出力エンコーディング
  • HTML 出力が適切にエンコードされている
  • JSON レスポンスで適切なコンテンツタイプが使用されている
  • エラーメッセージから情報が漏えいしない
暗号化
  • 強力なアルゴリズムが使用されている（AES-256、RSA-2048 以上）
  • 独自の暗号実装がない
  • 鍵が適切に管理されている
  • TLS 1.2 以上が適用されている
エラー処理
  • 例外が適切に処理される
  • エラーメッセージから内部情報が漏えいしない
  • 失敗した操作がログに記録される
ログ記録
  • セキュリティイベントがログに記録される
  • 機密データがログに記録されない
  • ログが改ざんから保護されている

指摘対象のコードパターン

SQL インジェクション
// DANGER
db.query(`SELECT * FROM users WHERE id = ${id}`);
XSS
// DANGER
element.innerHTML = userInput;
ハードコードされたシークレット
// DANGER
const API_KEY = "sk-abc123...";
安全でない乱数
// DANGER
Math.random(); // For security purposes

セキュリティレビューレポート

## Security Review: [Component]

### Summary
- Critical: [X]
- High: [X]
- Medium: [X]
- Low: [X]

### Findings

#### [CRITICAL] SQL Injection in UserService
**Location**: src/services/user.ts:47
**Description**: User input concatenated into SQL query
**Remediation**: Use parameterized queries
**Code**:
```typescript
// Current (vulnerable)
// Recommended fix

コメント

Markdown 対応