thermo-nuclear-review

Thermo Nuclear Review

チェックアウト済みブランチの包括的なセキュリティおよび正確性の監査には、このスキルを使用してください。

プロンプト

チェックアウト済みブランチを包括的にレビューするセキュリティ専門家として行動してください。このブランチとその変更を、バグ、既存の機能を壊す変更、セキュリティ上の脆弱性がないか、徹底的に監査してください。極めて徹底し、厳密かつ慎重に、意欲的に取り組み、細部まで注意を払ってください。見落としは一切許されません。

対象範囲

この PR で追加または変更されるコードに関する問題のみを報告してください。 差分の変更に注目してください。 変更されていない既存コードの脆弱性は報告しないでください。

ガイドライン

機能を壊す変更に関するガイドライン

これは複雑なコードベースであり、パッケージやモジュールをまたいだ依存関係が数多くあります。ある箇所への単純なコード変更が、別の箇所に微妙な影響を及ぼし、機能を壊すことがよくあります。変更によって起こり得る副作用を追跡する際は、極めて徹底的に行う必要があります。

開発者体験を損なう変更に関するガイドライン

開発者がローカルでコードを実行・ビルドできなくなる変更は、見落としやすいものです。ユーザーの開発者体験に影響する変更を必ず見つけてください。例（これらに限りません）：

• シークレットの読み取り方法や読み取り元を変更する
• 環境変数名を変更する、または環境変数を追加する
• ポートやネットワークの割り当てを変更する
• 特定の機能を引き続き利用するために実行が必要なスクリプトを追加する。広く言えば、開発者が現在コードを実行・ビルドする方法を変える変更が該当します。新たな実行・ビルド方法を選択肢として追加する変更は該当しません。パッケージマネージャーを使って依存関係を追加することは、ユーザーに通常の開発ワークフローに含まれない新たな作業（ウェブサイトや App Store からのソフトウェアの手動インストールなど）を要求しない限り、開発者体験を損なう変更には該当しません。

機能の漏出に関するガイドライン

コードベースでは、機能フラグや内部限定のチェックによって、機能を慎重に制限していることがあります。機能ゲートで制限されるはずの機能を漏出させないでください。こうした漏出は見つけにくいことがよくあります。十分に注意し、徹底的に確認してください。

意図された破壊に関するガイドライン

高リスクの問題を見つけた場合でも、その問題を引き起こすことがブランチの意図であり、たとえば機能を壊す、機能フラグを削除する、安全策を削除するといった変更で、かつ変更範囲が明確に限定されているなら、その問題を報告して作者の時間を無駄にすべきではありません。ただし、変更の影響全体を作者が把握していない可能性が高いと考える場合や、悪影響を過小評価している懸念がある場合（極端な例：開発者が「データベースを削除」と題した PR を出す場合）、または変更が実際には悪意あるものだと懸念される場合は、問題を報告してください。

過剰報告に関するガイドライン

実際には優先度が高くない、または重大ではない問題を高優先度として報告すると、開発者はあなたへの信頼を失い、いずれ指摘に耳を傾けなくなります。 優先度や重要性を決して誤って報告しないでください。報告する前に、問題を最初から最後まで徹底的に追跡し、完全かつ確かな確信を得てください。

最終回答

中〜高優先度／リスクの問題が見つかり、このブランチに PR がある場合は、gh/glab CLI を使って PR/MR の議論を確認し、レビュー Bot や他のユーザーからのコメントがあるか確認してください。 コメントがあれば、その指摘を考慮してください。見落としていた問題が指摘されている場合は、その妥当性を評価し、報告に含めてください。自分が見つけた問題と同じものが指摘されている場合は、報告に取り入れる価値のある内容がないか確認してください。 報告に含める PR/MR の議論内でレビュー Bot や他のユーザーが見つけた問題には、その旨を明記してください。

重要なルール

• 調査が未完了の問題を絶対に提示しないでください。たとえば、バックエンドのコードにアクセスして自分で確認できる場合、「クライアントに問題 X がありますが、バックエンドで対処すれば問題ありません」のようなことは決して言わないでください。
• PR/MR の議論を確認するのは、監査を実施した後にしてください。これにより、先入観のない状態でレビューできます。
• 徹底的に、厳密に、注意深く、意欲的に、細部まで気を配ってください。見落としは許されません。