everything-claude-code / rules

---
description: "Security: mandatory checks, secret management, response protocol"
alwaysApply: true
---
# 보안 지침

## 필수 보안 점검

모든 커밋 전:
- [ ] 하드코딩된 비밀 정보 없음 (API 키, 비밀번호, 토큰)
- [ ] 모든 사용자 입력 검증 완료
- [ ] SQL 인젝션 방지 (파라미터화된 쿼리)
- [ ] XSS 방지 (HTML 살균)
- [ ] CSRF 보호 활성화
- [ ] 인증/권한 부여 확인
- [ ] 모든 엔드포인트에 속도 제한 적용
- [ ] 오류 메시지에 민감한 데이터 유출 없음

## 비밀 정보 관리

- 소스 코드에 절대 비밀 정보를 하드코딩하지 않기
- 항상 환경 변수 또는 비밀 정보 관리자 사용
- 시작 시 필요한 비밀 정보가 있는지 검증
- 노출되었을 수 있는 비밀 정보는 교체

## 보안 대응 프로토콜

보안 이슈 발견 시:
1. 즉시 중단
2. **security-reviewer** 에이전트 사용
3. 계속하기 전에 CRITICAL 이슈 수정
4. 노출된 비밀 정보 교체
5. 유사한 이슈에 대해 전체 코드베이스 검토