mcpField
S
security-scan

security-scan

github.com/redpanda-dataセキュリティ4.3k53 回インストール今日更新
リポジトリ

security-scan について

security-scan は、Snyk のスキャンで検出された npm 依存関係の脆弱性に対処するコーディングスキルです。開発者が直接依存と推移的依存を分類し、修正方法を選び、変更を検証する手順を示します。

主な機能

  1. 01直接依存と推移的依存の分類
  2. 02package とロックファイルのバージョン確認
  3. 03npm で修正バージョンを検索
  4. 04型チェック、lint、ビルド、テストの実行

活用シーン

  1. 01Snyk の脆弱性レポートの調査
  2. 02脆弱な直接依存の修正
  3. 03推移的依存の脆弱性への対処
  4. 04npm のセキュリティ更新の検証

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/redpanda-data/console --skill security-scan

インストール後、Claude Code で/security-scanを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

rules/
_sections.md
_template.md
vuln-direct-deps.md
vuln-transitive-deps.md

詳細

セキュリティスキャン

Snyk.io のセキュリティスキャンで検出された npm の依存関係の脆弱性を解消します。

有効化条件

  • ユーザーが Snyk の脆弱性レポートを共有した場合
  • CVE／CWE に言及した場合
  • npm の依存関係のセキュリティ問題の修正を依頼した場合

クイックリファレンス

アクションルール
直接依存関係を修正するvuln-direct-deps.md
推移的依存関係を修正するvuln-transitive-deps.md

ワークフロー

1. 評価
  • 脆弱性レポートを解析します：パッケージ、バージョン、CVE／CWE、深刻度、修正バージョン
  • 直接依存関係（package.json に記載）か、推移的依存関係（別のパッケージ経由で取り込まれる）かを分類します
2. 調査
  • 現在のバージョンと既存のオーバーライドを package.json で確認します
  • 実際に解決されたバージョンをロックファイルで確認します
  • 脆弱なパッケージが直接使用されている箇所をソースコードで検索します
  • npm レジストリで利用可能な修正済みバージョンを確認します：npm view <package> versions --json
3. 修正

具体的な修正パターンについては、ルールを参照してください。

4. 検証
bun i --yarn
bun run type:check
bun run lint
bun run build
bun run test

すべて合格する必要があります。

ヒント

  • セキュリティ修正には正確なバージョンを使用します（^ 接頭辞は付けません）
  • Critical／High の深刻度を優先して修正します
  • メンテナンスされていないパッケージはパッチを適用するのではなく、置き換えます
  • 回避策を適用した場合は、その理由を説明するコメントを記載します

ルール

詳しいガイダンスについては、rules/ ディレクトリを参照してください。

コメント

Markdown 対応