scanning-input-validation-practices
入力値の検証漏れやインジェクション攻撃のリスクをスキャンします。ユーザー入力の処理方法を確認する際に利用できます。「scan input validation」「check injection vulnerabilities」「validate sanitization」といったキーワードでトリガーします。
description の原文を見る
Scan for input validation vulnerabilities and injection risks. Use when reviewing user input handling. Trigger with 'scan input validation', 'check injection vulnerabilities', or 'validate sanitization'.
SKILL.md 本文
入力検証スキャナー
このスキルは、入力検証スキャナータスクの自動化アシスタンスを提供します。
概要
このスキルは、コードベース内の潜在的な入力検証の欠陥を特定するプロセスを自動化します。ユーザーが提供したデータがどのように処理されているかを分析することで、開発者は脆弱性が悪用される前に積極的に対処するのに役立ちます。このスキルはセキュリティ監査を効率化し、アプリケーション全体のセキュリティ態勢を改善します。
動作方法
- スキャンの開始: ユーザーが入力検証スキャンをリクエストし、スキルがトリガーされます。
- コード分析: スキルは input-validation-scanner プラグインを使用して、指定されたコードベースまたはファイルを分析します。
- 脆弱性の特定: プラグインは、入力検証が欠落している、または不十分なインスタンスを特定します。
- レポート生成: スキルは、潜在的な脆弱性とコード内のその位置を強調したレポートを提示します。
このスキルを使用する場合
このスキルは、以下の場合に有効になります：
- 入力検証の脆弱性についてコードベースを監査する必要があります。
- 新しく書かれたコードを XSS または SQL インジェクションの欠陥について確認する必要があります。
- 一般的なウェブセキュリティエクスプロイトに対してアプリケーションを強化する必要があります。
- 入力処理に関するセキュリティベストプラクティスへの準拠を確保する必要があります。
例
例 1: XSS 脆弱性の特定
ユーザーリクエスト: 「ユーザープロファイルモジュールの潜在的な XSS 脆弱性をスキャンしてください。」
スキルは以下を実行します：
- 指定されたモジュールで input-validation-scanner プラグインを有効化します。
- ユーザー入力が適切なサニタイゼーションなしで直接レンダリングされている領域を強調したレポートを生成し、潜在的な XSS 脆弱性を示します。
例 2: SQL インジェクションリスクの確認
ユーザーリクエスト: 「データベースアクセスレイヤーの潜在的な SQL インジェクションリスクを確認してください。」
スキルは以下を実行します：
- input-validation-scanner プラグインを使用してデータベースアクセスコードを検査します。
- ユーザー入力が適切なパラメータ化またはエスケープなしで SQL クエリで直接使用されているインスタンスを特定し、潜在的な SQL インジェクション脆弱性を示します。
ベストプラクティス
- 定期的なスキャン: 入力検証スキャンを通常の開発ワークフローに統合してください。
- 文脈分析: 特定された脆弱性を常に文脈で確認し、実際の影響と深刻度を判断してください。
- 包括的な検証: フォーム、API、外部ソースからのデータを含むすべてのユーザー提供データが検証されていることを確認してください。
統合
このスキルは、他のセキュリティ関連スキルと組み合わせて使用して、より包括的なセキュリティ評価を提供できます。例えば、スタティック分析スキルと組み合わせて他の種類の脆弱性を特定したり、依存関係スキャンスキルと組み合わせて脆弱な第三者ライブラリを特定したりすることができます。
前提条件
- {baseDir}/ 内のコードベースと設定ファイルへのアクセス
- 必要に応じてセキュリティスキャンツールがインストールされていること
- セキュリティ標準とベストプラクティスの理解
- セキュリティ分析操作の権限
手順
- セキュリティスキャンの範囲とターゲットを特定する
- スキャンパラメータと閾値を構成する
- セキュリティ分析を体系的に実行する
- 脆弱性とコンプライアンスギャップについて結果を分析する
- 問題を深刻度と影響で優先順位付けする
- 修復手順を含む詳細なセキュリティレポートを生成する
出力
- 脆弱性の詳細を含むセキュリティスキャン結果
- 標準別のコンプライアンスステータスレポート
- 深刻度別に優先順位付けされたセキュリティ問題のリスト
- コード例を含む修復の推奨事項
- ステークホルダー向けの要約
エラーハンドリング
セキュリティスキャンが失敗した場合：
- ツールのインストールと構成を確認する
- ファイルとディレクトリの権限を確認する
- スキャンターゲットのパスを検証する
- ツール固有のエラーメッセージを確認する
- 依存関係チェックのネットワークアクセスを確認する
リソース
- セキュリティ標準ドキュメント (OWASP、CWE、CVE)
- コンプライアンスフレームワークガイドライン (GDPR、HIPAA、PCI-DSS)
- セキュリティスキャンツールドキュメント
- 脆弱性修復ベストプラクティス
ライセンス: MIT(寛容ライセンスのため全文を引用しています) · 原本リポジトリ
詳細情報
- 作者
- Brmbobo
- リポジトリ
- Brmbobo/Web2podcast
- ライセンス
- MIT
- 最終更新
- 2026/1/26
Source: https://github.com/Brmbobo/Web2podcast / ライセンス: MIT
関連スキル
secure-code-guardian
認証・認可の実装、ユーザー入力の保護、OWASP Top 10の脆弱性対策が必要な場合に使用します。bcrypt/argon2によるパスワードハッシング、パラメータ化ステートメントによるSQLインジェクション対策、CORS/CSPヘッダーの設定、Zodによる入力検証、JWTトークンの構築などのカスタムセキュリティ実装に対応します。認証、認可、入力検証、暗号化、OWASP Top 10対策、セッション管理、セキュリティ強化全般で活用できます。ただし、構築済みのOAuth/SSO統合や単独のセキュリティ監査が必要な場合は、より特化したスキルの検討をお勧めします。
claude-authenticity
APIエンドポイントが本物のClaudeによって支えられているか（ラッパーやプロキシ、偽装ではないか）を、claude-verifyプロジェクトを模した9つの重み付きルールベースチェックで検証できます。また、Claudeの正体を上書きしているプロバイダーから注入されたシステムプロンプトも抽出します。完全に自己完結しており、httpx以外の追加パッケージは不要です。Claude APIキーまたはエンドポイントを検証したい場合、サードパーティのClaudeサービスが本物か確認したい場合、APIプロバイダーのClaude正当性を監査したい場合、複数モデルを並行してテストしたい場合、またはプロバイダーが注入したシステムプロンプトを特定したい場合に使用できます。
anth-security-basics
Anthropic Claude APIのセキュリティベストプラクティスを適用し、キー管理、入力値の検証、プロンプトインジェクション対策を実施します。APIキーの保護、Claudeに送信する前のユーザー入力検証、コンテンツセーフティガードレールの実装が必要な場合に活用できます。「anthropic security」「claude api key security」「secure anthropic」「prompt injection defense」といったフレーズでトリガーされます。
x-ray
x-ray.mdプレ監査レポートを生成します。概要、強化された脅威モデル（プロトコルタイプのプロファイリング、Gitの重み付け攻撃面分析、時間軸リスク分析、コンポーザビリティ依存関係マッピング）、不変条件、統合、ドキュメント品質、テスト分析、開発者・Gitの履歴をカバーしています。「x-ray」「audit readiness」「readiness report」「pre-audit report」「prep this protocol」「protocol prep」「summarize this protocol」のキーワードで実行されます。
semgrep
Semgrepスタティック分析スキャンを実行し、カスタム検出ルールを作成します。Semgrepでのコードスキャン、セキュリティ脆弱性の検出、カスタムYAMLルールの作成、または特定のバグパターンの検出が必要な場合に使用します。重要：ユーザーが「バグをスキャンしたい」「コード品質を確認したい」「脆弱性を見つけたい」「スタティック分析」「セキュリティlint」「コード監査」または「コーディング標準を適用したい」と尋ねた場合も、Semgrepという名称を明記していなくても、このスキルを使用してください。Semgrepは30以上の言語に対応したパターンベースのコードスキャンに最適なツールです。
ghost-bits-cast-attack
Java「ゴーストビッツ」/キャストアタック プレイブック（Black Hat Asia 2026）。16ビット文字が8ビットバイトに暗黙的に縮小されるJavaサービスへの攻撃時に使用します。WAF/IDSを回避して、SQLインジェクション、デシリアライゼーション型RCE、ファイルアップロード（Webシェル）、パストトラバーサル、CRLF インジェクション、リクエストスマグリング、SMTPインジェクションを実行できます。Tomcat、Spring、Jetty、Undertow、Vert.x、Jackson、Fastjson、Apache Commons BCEL、Apache HttpClient、Angus Mail、JDK HttpServer、Lettuce、Jodd、XMLWriterに影響し、WAFバイパスにより多くの「パッチ済み」CVEを再度有効化します。