Stats
Actions
Tags
How this skill is triggered — by the user, by Claude, or both
Slash command
/affaan-m:security-reviewThe summary Claude sees in its skill listing — used to decide when to auto-load this skill
`security-review`
security-review
OWASP Top 10（2021）に基づくセキュリティレビューを実施するスキル。コードベース全体のセキュリティ脆弱性を検出し、修正ガイドを提供します。
このスキルは以下の場合に自動的に起動されます：
/security-scanまたは/owasp-checkコマンド実行時アクセス制御の不備
チェック項目:
暗号化の失敗
チェック項目:
インジェクション
チェック項目:
安全でない設計
チェック項目:
セキュリティ設定ミス
チェック項目:
脆弱で古いコンポーネント
チェック項目:
識別と認証の失敗
チェック項目:
ソフトウェアとデータの整合性の失敗
チェック項目:
セキュリティログとモニタリングの失敗
チェック項目:
サーバーサイドリクエストフォージェリ
チェック項目:
AWS_ACCESS_KEY_ID : AKIA[0-9A-Z]{16}
AWS_SECRET_ACCESS_KEY : [A-Za-z0-9/+=]{40}
GITHUB_TOKEN : ghp_[A-Za-z0-9]{36}
SLACK_TOKEN : xox[baprs]-[0-9a-zA-Z-]+
PRIVATE_KEY : -----BEGIN (RSA |DSA )?PRIVATE KEY-----
DATABASE_URL : postgres://[^:]+:[^@]+@[^/]+/.*
// ❌ 危険
db.query(`SELECT * FROM users WHERE id = ${userId}`);
// ✅ 安全
db.query('SELECT * FROM users WHERE id = ?', [userId]);
// ❌ 危険
element.innerHTML = userInput;
// ✅ 安全
element.textContent = userInput;
// ❌ 危険
fs.readFile(req.query.file);
// ✅ 安全
const safePath = path.join(UPLOAD_DIR, path.basename(req.query.file));
fs.readFile(safePath);
ndf:qaがセキュリティレビューを実施：
ndf:corderが脆弱性を修正：
ndf:researcherがセキュリティ情報を調査：
PreCommit時に自動シークレットスキャン：
→ 即座に修正
→ 24時間以内に修正
→ 1週間以内に修正
→ 計画的に修正
// Before
const query = `SELECT * FROM users WHERE id = ${userId}`;
db.query(query);
// After
const query = 'SELECT * FROM users WHERE id = ?';
db.query(query, [userId]);
// Before
element.innerHTML = userInput;
// After
import DOMPurify from 'dompurify';
element.innerHTML = DOMPurify.sanitize(userInput);
// Before
const API_KEY = 'sk-1234567890';
// After
const API_KEY = process.env.API_KEY;
import helmet from 'helmet';
app.use(helmet({
contentSecurityPolicy: {
directives: {
defaultSrc: ["'self'"],
styleSrc: ["'self'", "'unsafe-inline'"],
scriptSrc: ["'self'"],
imgSrc: ["'self'", "data:", "https:"],
},
},
hsts: {
maxAge: 31536000,
includeSubDomains: true,
},
}));
/security-scan）/owasp-check）.env）.gitignoreに.envを追加.env.exampleでテンプレート提供// セキュリティレビュー実施
/security-scan src/auth
// 検出された問題
// 1. パスワードが平文で保存されている
// 2. セッション固定化の脆弱性
// 3. レート制限なし
// 修正実施（ndf:corderと連携）
// - bcryptでパスワードをハッシュ化
// - セッション再生成を実装
// - express-rate-limitを導入
.securityignore）node_modulesを除外/security-scan - 総合セキュリティスキャン/owasp-check - OWASP Top 10チェック/tdd-coverage - テストカバレッジ検証npx claudepluginhub takemi-ohama/ai-plugins --plugin affaan-mAudits code for OWASP Top 10 vulnerabilities, authentication flaws, security headers, and code quality (DRY/SOLID). Triggers on security-related terms.
Review code systematically for security vulnerabilities using OWASP Top 10, secure coding patterns, and static analysis best practices. Use when reviewing pull requests, conducting security code reviews, or implementing secure development practices.
Reviews codebases against the OWASP Top 10 vulnerability categories for security audits, pre-launch checks, and post-incident analysis.