oto1720/security-review

Security Review Skill

セキュリティに特化したコードレビューを実施し、脆弱性レポートを生成する。

入力

$ARGUMENTS にファイルパスまたはディレクトリを受け取る。 未指定の場合はプロジェクト全体をスキャンする。

実行フロー

Step 1: シークレット・認証情報の検出

最優先でスキャン:

# ハードコードされたシークレットを検出
grep -rn --include="*.dart" --include="*.go" --include="*.ts" --include="*.env" \
  -E "(api_key|apikey|secret|password|passwd|token|private_key|firebase)\s*=\s*['\"][^'\"]{8,}" \
  . | grep -v -E "(_test\.|example|mock|dummy|placeholder|your_|<|{)"

# .envファイルがgit管理されていないか
git ls-files | grep -E "\.env$|\.env\."

# pubspec.yamlやpackage.jsonに直書きされていないか
grep -rn "firebase_options\|google-services\|GoogleService" . \
  --include="*.dart" --include="*.json" | grep -v ".gitignore"

Step 2: 認証・認可のチェック

# 認証なしのAPIエンドポイント
grep -rn "router\.\|app\.\|Route\|endpoint" . \
  --include="*.go" --include="*.ts" --include="*.dart" | \
  grep -v "auth\|middleware\|guard\|protected"

# Firebaseセキュリティルールの確認
cat firestore.rules 2>/dev/null
cat storage.rules 2>/dev/null
cat database.rules.json 2>/dev/null

Step 3: インジェクション系の脆弱性

# SQLインジェクション（文字列連結でのクエリ構築）
grep -rn "query\s*=\s*.*\+" . --include="*.dart" --include="*.go" --include="*.ts"
grep -rn "\"SELECT.*\$\|\"INSERT.*\$\|\"UPDATE.*\$" . 

# コマンドインジェクション
grep -rn "exec\|os\.system\|subprocess\|Process\.run" . \
  --include="*.dart" --include="*.go" --include="*.py"

Step 4: 入力バリデーション

# ユーザー入力が直接使われている箇所
grep -rn "request\.body\|req\.params\|req\.query\|TextEditingController" . \
  --include="*.dart" --include="*.ts" | head -30

# バリデーションなしで使われていないか確認

Step 5: 通信・データ保存のセキュリティ

# HTTPSではなくHTTPを使っている箇所
grep -rn "http://" . --include="*.dart" --include="*.go" --include="*.ts" \
  | grep -v "localhost\|127.0.0.1\|comment\|//"

# 機密データのローカル保存
grep -rn "SharedPreferences\|localStorage\|UserDefaults\|SecureStorage" . \
  --include="*.dart" --include="*.ts" | head -20

# ログへの機密情報出力
grep -rn "print\|debugPrint\|log\|console\.log" . \
  --include="*.dart" --include="*.ts" | \
  grep -i "password\|token\|secret\|key" | head -20

Step 6: セキュリティレポートの生成

docs/reviews/security_review_{YYYYMMDD}.md に出力:

# セキュリティレビューレポート

**レビュー日時**: {date}  
**対象**: {対象範囲}  
**スキャン項目数**: {N}

---

## 🚨 リスクサマリー

| 深刻度 | 件数 | 対応優先度 |
|--------|------|-----------|
| 🔴 Critical (即座に対応) | N | 今すぐ |
| 🟠 High (今週中)         | N | 今週中 |
| 🟡 Medium (今月中)       | N | 今月中 |
| 🟢 Informational (推奨) | N | 任意 |

**総合リスクレベル**: [CRITICAL / HIGH / MEDIUM / LOW / PASS]

---

## 🔴 Critical Vulnerabilities

### [SEC-C1] {脆弱性名}

**カテゴリ**: Secret Leak / Injection / Authentication / ...  
**ファイル**: `path/to/file.dart:行番号`  
**CVSS スコア**: ~{N}/10（概算）

**問題のコード**:
```dart
// ❌ 危険なコード

リスク: {攻撃シナリオを具体的に}
例: 「APIキーが公開されると、悪意あるユーザーがFirebaseに無制限にアクセスできる」

修正方法:

// ✅ 安全なコード

参考: [OWASP Top 10 - A02: Cryptographic Failures]

---

🟠 High Risk

[同様のフォーマット]

---

🟡 Medium Risk

[同様のフォーマット]

---

🟢 Security Best Practices (推奨)

• {推奨事項}: {理由と実装方法}

---

✅ セキュリティチェックリスト

認証・認可

• [ ] すべてのAPIエンドポイントに認証が設定されている
• [ ] Firebaseセキュリティルールが適切に設定されている
• [ ] ユーザーは自分のデータのみアクセスできる

データ保護

• [ ] 機密情報が環境変数/SecureStorageで管理されている
• [ ] .envファイルが.gitignoreに含まれている
• [ ] ログに機密情報が出力されていない

通信

• [ ] すべての通信がHTTPS
• [ ] Certificate Pinningが実装されている（モバイルの場合）

入力検証

• [ ] すべてのユーザー入力がバリデーションされている
• [ ] SQLクエリがパラメータ化されている

---

🛠️ 推奨ツール

• flutter_secure_storage: 機密データの保存
• firebase_app_check: Firebase不正アクセス防止
• dart_code_metrics: 静的解析でセキュリティチェック

---

Generated by Claude Code / security-review skill

## 品質基準

- **誤検知を避ける**: テストコード・モックは除外
- **攻撃シナリオを具体的に記述**: 「危険です」ではなく「〇〇という攻撃が可能になる」
- **必ず修正コードを示す**: 問題の指摘だけでなく解決策も提示
- **OWASPやCWEの参照を含める**: 標準的な脆弱性分類との対応を示す