AI開発の
公開前セキュリティ監査入門

# プロジェクト単位で導入 npx skills add https://github.com/cloudflare/security-audit-skill \ --skill security-audit # 自分の複数プロジェクトで使う（ユーザー共通） npx skills add https://github.com/cloudflare/security-audit-skill \ --skill security-audit \ --global

// 危険な例：ログインだけ確認 if (!session.user) return unauthorized() return db.profile.find({ id: params.userId }) // 必要な考え方：対象データの所有者も確認 const profile = await db.profile.find({ id: params.userId }) if (profile.userId !== session.user.id) return forbidden() return profile

導入したCloudflare公式の「security-audit」スキルを使って、 現在開いているプロジェクトをquickプロファイルで監査してください。 開始時に、監査対象のプロジェクトのパスと、 実際に読み込んだSKILL.mdのパスを示してください。 スキルを読み込めない場合は、そのことを報告し、 通常のコードレビューをスキルによる監査と偽らないでください。 【今回の作業範囲】 診断とレポート作成のみです。 アプリのコード変更、依存関係の更新、コミット、 プッシュ、デプロイは行わないでください。 【重点確認】 このアプリに存在する機能について、以下を確認してください。 ・ログインと権限管理の不備 ・他人のデータを閲覧・変更できる問題 ・APIキーなどの秘密情報が公開される問題 ・入力値やファイルの扱いに関する問題 ・APIの不正利用や過剰な利用につながる問題 【実行条件】 スキルの正式な手順と検証基準に従ってください。 必要なサブエージェントや検証環境が使えない場合は、 その制約と未確認の範囲を明記してください。

本番環境や外部サービスへの攻撃的なアクセスは禁止です。 本番用の.env、秘密鍵、顧客の実データは読み込まないでください。 秘密情報を見つけても、その値を回答やレポートに転記しないでください。 対象コードを実行する検証は、スキルが要求する隔離条件を 満たす場合だけ行ってください。 満たせない場合は実行せず、検証できなかった理由を残してください。 【報告】 監査成果物は、スキル標準のプロジェクト外の保存先に作成してください。 レポート本文とチャットでの説明は日本語にしてください。 confirmed、needs_validation、rejectedを区別し、 未監査・検証不能の範囲も明記してください。 最後にチャット上で、 「確認された問題」「追加確認が必要な点」「修正の優先順位」 を、専門用語を補足しながら説明してください。 確認された問題には、該当ファイル・行番号・根拠・修正方針を示してください。 今回は修正せず、レポートの保存先を案内して終了してください。