Agent skill · security · affaan-m
security-review
認証の追加、ユーザー入力の処理、シークレットの操作、APIエンドポイントの作成、支払い/機密機能の実装時にこのスキルを使用します。包括的なセキュリティチェックリストとパターンを提供します。
Why this skill is useful
Provides a comprehensive security checklist and patterns that the AI wouldn't reliably generate on its own.
What it needs
About 5k tokens when loaded. Last updated 2026-08-06. 238,342 stars on the source repository.
What this skill does
セキュリティレビュースキル このスキルは、すべてのコードがセキュリティのベストプラクティスに従い、潜在的な脆弱性を特定することを保証します。 有効化するタイミング 認証または認可の実装 ユーザー入力またはファイルアップロードの処理 新しいAPIエンドポイントの作成 シークレットまたは資格情報の操作 支払い機能の実装 機密データの保存または送信 サードパーティAPIの統合 セキュリティチェックリスト 1. シークレット管理 FAIL: 絶対にしないこと PASS: 常にすること 検証ステップ [ ] ハードコードされたAPIキー、トークン、パスワードなし [ ] すべてのシークレットを環境変数に [ ] .env.localを.gitignoreに [ ] git履歴にシークレットなし [ ] 本番シークレットはホスティングプラットフォーム（Vercel、Railway）に 2. 入力検証 常にユーザー入力を検証 ファイルアップロード検証 検証ステップ [ ] すべてのユーザー入力をスキーマで検証 [ ] ファイルアップロードを制限（サイズ、タイプ、拡張子） [ ] クエリでのユーザー入力の直接使用なし [ ] ホワイトリスト検証（ブラックリストではなく） [ ] エラーメッセージが機密情報を漏らさない 3. SQLインジェクション防止 FAIL: 絶対にSQLを連結しない PASS: 常にパラメータ化されたクエリを使用 検証ステップ [ ] すべてのデータベースクエリがパラメータ化されたクエリを使用 [ ] SQLでの文字列連結なし [ ] ORM/クエリビルダーを正しく使用 [ ] Supabaseクエリが適切にサニタイズされている 4. 認証と認可 JWTトークン処理 認可チェック 行レベルセキュリティ (Supabase) 検証ステップ [ ] トークンはhttpOnly Cookieに保存（localStorageではなく） [ ] 機密操作前の認可チェック [ ] SupabaseでRow Level Securityを有効化 [ ] ロールベースのアクセス制御を実装 [ ] セッション管理が安全 5. XSS防止 HTMLをサニタイズ コンテンツセキュリティポリシー 検証ステップ [ ] ユーザー提供のHTMLをサニタイズ [ ] CSPヘッダーを設定 [ ] 検証されていない動的コンテンツのレンダリングなし [ ] Reactの組み込みXSS保護を使用 6. CSRF保護 CSRFトークン SameSite Cookie 検証ステップ [ ] 状態変更操作でCSRFトークン [ ] すべてのCookieでSameSite=Strict [ ] ダブルサブミットCookieパターンを実装 7. レート制限 APIレート制限 高コスト操作 検証ステップ [ ] すべてのAPIエンドポイントでレート制限 [ ] 高コスト操作でより厳しい制限 [ ] IPベースのレート制限 [ ] ユーザーベースのレート制限（認証済み） 8. 機密データの露出 ロギング エラーメッセージ 検証ステップ [ ] ログにパスワード、トークン、シークレットなし [ ] ユーザー向けの一般的なエラーメッセージ [ ] 詳細なエラーはサーバーログのみ [ ] ユーザーにスタックトレースを露出しない 9. ブロックチェーンセキュリティ (Solana) ウォレット検証 トランザクション検証 検証ステップ [ ] ウォレット署名を検証 [ ] トランザクション詳細を検証 [ ] トランザクション前の残高チェック [ ] ブラインドトランザクション署名なし 10. …
How to use it
Reference it in AdaL, Claude Code, Cursor or any coding agent — nothing to install:
@skills affaan-m/security-review--939c3d