mashharuki

oss-security-audit

mashharuki/claude-code-sample/.claude/skills/oss-security-audit/SKILL.md

OSSリポジトリやプログラムに対して、認証・認可・入力検証・インジェクション・パストラバーサル・ HTTP/APIセキュリティ・レート制限・並行処理/競合状態・リプレイ・エラーハンドリング・シークレット漏洩・ 暗号・シリアライズ・依存関係障害・リソース枯渇・状態機械の不変条件・Fuzzテスト・静的解析（SAST/ 依存関係脆弱性/シークレットスキャン）・GitHub Actions/CIセキュリティ・性能/負荷テストまで含む、 網羅的なセキュリティ＆性能監査を実施し、重大度付きの所見・再現手順・修正案・推奨回帰テストを 記載した構造化レポートを作成するスキル。ユーザーが「脆弱性を見つけて」「セキュリティ監査して」 「ペネトレーションテストして」「このリポジトリを攻撃者視点でレビューして」「負荷テストして」 「性能テストして」「監査レポートを作って」などと言った場合はもちろん、明示的に「網羅的に」 「あらゆる角度から」といった言葉がなくても、対象がOSSリポジトリ・自作アプリ・APIサーバーであり セキュリティ/性能面の深掘りが求められている場合は積極的にこのスキルを使うこと。単発のPR差分 レビューには `code-review` / `security-review` の方が軽量で適切な場合があるが、リポジトリ全体を 対象にした一回の総合監査＋レポート納品が目的ならこのスキルを使う。