security-and-hardeningcommit d051d88SKILL.md · ハードニング
セキュリティと堅牢化
脅威モデリングから始め、Web アプリの入力・認証・セッション・依存関係・プライバシー・LLM 機能を堅牢化します。
npx skills add addyosmani/agent-skills --skill security-and-hardeningコマンドを選択しました。手動でコピーしてください。
- 権限
- read-repo
- write-files
- shell
- network
- 対応ツール
- Claude Code, Codex, Cursor, Copilot, Gemini CLI
- GitHub
- 112.3k
- 提供元
- コミュニティ · Addy Osmani
- 状態
- スキャン済み
- ライセンス
- MIT
- カテゴリ
- ハードニング
基本ルール
外部入力はすべて敵対的とみなし、秘密情報は厳重に守り、認可チェックは必ず行います。
実行フェーズ
フェーズ 01脅威モデリング
信頼境界（LLM の出力を含む）を洗い出し、守るべき資産を挙げ、各境界に STRIDE を当て、悪用ケースを最初のテストにします。
フェーズ 023 段階の境界
必ず行う（入力検証、パラメータ化クエリ、出力エンコード、HTTPS など）、事前承認（認証変更、新たな PII、CORS 変更など）、禁止（秘密のコミット、機密のログ出力など）に従います。
フェーズ 03堅牢化の実装
hardening-patterns.md を参照し、インジェクションと XSS、アクセス制御、セッション Cookie、ヘッダーと CORS、アップロード、SSRF、レート制限、秘密管理に対処します。
フェーズ 04依存とプライバシー
コミット済みのロックファイルにネイティブ audit を実行し、依存のインストールスクリプトを止めます。個人データは分類・最小化し、保持期限と削除経路を決めます。
フェーズ 05チェックリスト検証
承認前に security-checklist.md と検証項目を一つずつ確認します。
権限の説明（SKILL.md より）
| 機能 | 必要か | 説明 |
|---|---|---|
| ファイル書き込み | 必要 | セキュリティ関連のコード、設定、.env.example などを作成・修正します。 |
| コマンド実行 | 必要 | パッケージマネージャーのネイティブ audit やテストを実行し、コミット前にステージ差分を grep して秘密を確認します。 |
| 外部通信 | 一部で必要 | 依存関係の audit と署名検証のときのみパッケージレジストリにアクセスします。 |
SKILL.md のフロントマター（YAML）
---
name: security-and-hardening
description: Hardens code against vulnerabilities. Use when auditing an input handler for vulnerabilities, when handling user input, authentication, data storage, or external integrations, or when checking a login flow is safe against the OWASP Top Ten. Use when building any feature that accepts untrusted data, manages user sessions or session cookies, or interacts with third-party services. Use when auditing dependencies for known vulnerabilities, triaging package-manager audit findings, or assessing supply-chain risk in a new package. Use when personal data or privacy compliance (GDPR, CCPA) is involved.
---関連スキル
ルールスキャンですべてのリスクを検出できるわけではありません。インストール前にこのスキルの SKILL.md を読み、権限を確認してください。