# セキュリティレビュー (security-review)

> シークレット、入力検証、SQLインジェクション、認証認可、XSS、CSRF、依存関係などのチェックリストとコード例です。

- カテゴリ: [セキュリティ監査](https://www.myskills.tools/ja/categories/security-audit/)
- 提供元: コミュニティ · Affaan Mustafa
- リポジトリ: https://github.com/affaan-m/ECC/tree/main/skills/security-review (commit afa5651)
- SKILL.md: https://github.com/affaan-m/ECC/blob/main/skills/security-review/SKILL.md
- インストールコマンド: `npx skills add affaan-m/ECC --skill security-review`
- ライセンス: MIT
- 対応ツール: Claude Code, Codex, Cursor, Copilot, OpenCode
- 権限: read-repo ✓, write-files ✓, shell ✓, network ✓
- 状態: スキャン済み
- ルールスキャンですべてのリスクを検出できるわけではありません。インストール前にこのスキルの SKILL.md を読み、権限を確認してください。

## 基本ルール

APIキー・トークン・パスワードを決してハードコードせず、シークレットはすべて環境変数に置くこと。

## 実行フェーズ

1. **場面を見極める** — 作業が認証認可、ユーザー入力やファイルアップロード、新しいAPI、シークレット、決済、機密データ、外部APIに関わるか判断します。
2. **項目ごとに確認** — シークレット、入力検証、パラメータ化クエリ、認証認可、XSS、CSRF、レート制限、機密データの露出、Solanaのブロックチェーン安全性を確認します。
3. **依存関係を確認** — npm audit で脆弱性を確認し、依存関係を更新し、lockファイルをコミットし、CIでは npm ci を使います。
4. **セキュリティテスト** — 認証（401）、認可（403）、不正な入力（400）、レート制限（429）の自動テストを書きます。
5. **デプロイ前の確認** — 本番デプロイ前に、HTTPS、セキュリティヘッダー、CORS、ログ、Supabaseの行レベルセキュリティを含むチェックリストを確認します。

## 権限の説明（SKILL.md より）

| 機能 | 必要か | 説明 |
|---|---|---|
| ファイル書き込み | 必要 | チェックリストのパターンに沿ってコードを修正し、セキュリティテストを追加します。 |
| コマンド実行 | 一部で必要 | npm audit、npm update、npm outdated などの依存関係チェックとテストを実行します。 |
| 外部通信 | 一部で必要 | npm audit などの依存関係コマンドがnpmレジストリにアクセスします。 |

## SKILL.md のフロントマター（YAML）

```yaml
---
name: security-review
description: Use this skill when adding authentication, handling user input, working with secrets, creating API endpoints, or implementing payment/sensitive features. Provides comprehensive security checklist and patterns.
metadata:
  origin: ECC
---
```

ホーム: https://www.myskills.tools/ja/ · URL: https://www.myskills.tools/ja/skills/security-review/