# セキュリティと堅牢化 (security-and-hardening)

> 脅威モデリングから始め、Web アプリの入力・認証・セッション・依存関係・プライバシー・LLM 機能を堅牢化します。

- カテゴリ: [ハードニング](https://www.myskills.tools/ja/categories/hardening/)
- 提供元: コミュニティ · Addy Osmani
- リポジトリ: https://github.com/addyosmani/agent-skills/tree/main/skills/security-and-hardening (commit d051d88)
- SKILL.md: https://github.com/addyosmani/agent-skills/blob/main/skills/security-and-hardening/SKILL.md
- インストールコマンド: `npx skills add addyosmani/agent-skills --skill security-and-hardening`
- ライセンス: MIT
- 対応ツール: Claude Code, Codex, Cursor, Copilot, Gemini CLI
- 権限: read-repo ✓, write-files ✓, shell ✓, network ✓
- 状態: スキャン済み
- ルールスキャンですべてのリスクを検出できるわけではありません。インストール前にこのスキルの SKILL.md を読み、権限を確認してください。

## 基本ルール

外部入力はすべて敵対的とみなし、秘密情報は厳重に守り、認可チェックは必ず行います。

## 実行フェーズ

1. **脅威モデリング** — 信頼境界（LLM の出力を含む）を洗い出し、守るべき資産を挙げ、各境界に STRIDE を当て、悪用ケースを最初のテストにします。
2. **3 段階の境界** — 必ず行う（入力検証、パラメータ化クエリ、出力エンコード、HTTPS など）、事前承認（認証変更、新たな PII、CORS 変更など）、禁止（秘密のコミット、機密のログ出力など）に従います。
3. **堅牢化の実装** — hardening-patterns.md を参照し、インジェクションと XSS、アクセス制御、セッション Cookie、ヘッダーと CORS、アップロード、SSRF、レート制限、秘密管理に対処します。
4. **依存とプライバシー** — コミット済みのロックファイルにネイティブ audit を実行し、依存のインストールスクリプトを止めます。個人データは分類・最小化し、保持期限と削除経路を決めます。
5. **チェックリスト検証** — 承認前に security-checklist.md と検証項目を一つずつ確認します。

## 権限の説明（SKILL.md より）

| 機能 | 必要か | 説明 |
|---|---|---|
| ファイル書き込み | 必要 | セキュリティ関連のコード、設定、.env.example などを作成・修正します。 |
| コマンド実行 | 必要 | パッケージマネージャーのネイティブ audit やテストを実行し、コミット前にステージ差分を grep して秘密を確認します。 |
| 外部通信 | 一部で必要 | 依存関係の audit と署名検証のときのみパッケージレジストリにアクセスします。 |

## SKILL.md のフロントマター（YAML）

```yaml
---
name: security-and-hardening
description: Hardens code against vulnerabilities. Use when auditing an input handler for vulnerabilities, when handling user input, authentication, data storage, or external integrations, or when checking a login flow is safe against the OWASP Top Ten. Use when building any feature that accepts untrusted data, manages user sessions or session cookies, or interacts with third-party services. Use when auditing dependencies for known vulnerabilities, triaging package-manager audit findings, or assessing supply-chain risk in a new package. Use when personal data or privacy compliance (GDPR, CCPA) is involved.
---
```

ホーム: https://www.myskills.tools/ja/ · URL: https://www.myskills.tools/ja/skills/security-and-hardening/