w-security について
w-security は、プロジェクトのセキュリティ文書と既存スキャナーに基づいて欠陥を調べるスキルです。修正の許可がない場合は報告にとどめ、各指摘の発生条件と影響を検証します。
主な機能
- 01リポジトリのセキュリティ文書を確認
- 02認証・秘密情報・入力検証を調査
- 03発生条件と影響を検証
- 04許可があれば既存チェックを実行
- 05無許可の修正を行わず報告
活用シーン
- 01変更箇所のセキュリティ欠陥をレビュー
- 02報告前に疑わしい問題を検証
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/w-securityを入力して読み込まれたか確認します。
詳細
リポジトリのセキュリティドキュメントと既存のスキャナーに照らして、セキュリティ上の欠陥を探します。CORS、暗号化、パスワード、ヘッダーに関するポリシーを捏造しないでください。ユーザーから修正を依頼されていない限り、報告のみにとどめてください。
- リポジトリのセキュリティドキュメントを読みます。見つからない場合は、作業を中止して確認を求め、基準を捏造しないでください。
- 変更対象のパスについて、認証・認可、シークレット・情報漏えい、入力検証を調査する読み取り専用の調査担当を2～3名立ち上げます。トリガーと結果は自分で照合してください。
- 疑わしい問題ごとに、トリガーと結果を検証します。捏造したCVEやタイミング情報は記載しないでください。
- 許可されている場合は、ドキュメントまたは
package.jsonに記載された既存のセキュリティスクリプトやCIジョブを実行します。成功、失敗、未実行のいずれかを記録してください。 - 修正が許可されている場合は、原因となっている箇所を変更します。ポリシーの変更には人間の承認が必要です。動作やコマンドを変更した場合は、ドキュメントに
/w-docsを使用してください。
コメント
Markdown 対応