sumik5/software-security
plugins/devkit/skills/software-security/SKILL.md
Project CodeGuard-based secure-by-default coding rules (23 rule files spanning injection, authentication/MFA, cryptography, secrets, authorization, sessions, cloud/Kubernetes, IaC, supply chain, MCP, mobile, logging, privacy) for writing and reviewing secure code across 25+ languages. Use when writing, reviewing, or modifying code, handling user input/credentials/cryptographic operations, or configuring cloud infrastructure/CI-CD/containers. Japanese-localized adaptation of cosai-oasis/project-codeguard (CC-BY-4.0). For organizational AI-development security strategy use ai:securing-ai-development; for dynamic authorization model design (ABAC/ReBAC/Cedar) use cloud:implementing-dynamic-authorization; for OWASP-oriented code security and penetration testing use securing-code. For architecture-level security design methodology use cloud:architecting-security instead.
$ install --global
skillsauthnpx skillsauth add sumik5/sumik-claude-plugin software-securityInstall this skill globally with one command. Works with Claude Code, Cursor, and Windsurf.
Security Scan Results
3 of 9 scanners reported clean
Some scanners were skipped, did not run, or reported a non-clean status. Review each row below.
3
Scanners Passed
9
Scanners in report
Clean
TrivyContainer and dependency vulnerability scanner
95%
Clean
SemgrepStatic code analysis for vulnerabilities
95%
Clean
mcp-scan (Snyk)Model Context Protocol security validation
95%
Skipped
Snyk (dep)Open source security scanning
50%
Skipped
Socket.devSupply chain security analysis
50%
Skipped
VirusTotalMulti-engine malware detection
50%
Skipped
CrowdStrikeAdvanced threat intelligence
50%
Skipped
OSV-ScannerOpen Source Vulnerability database check
50%
Skipped
OWASP Dep-Check
50%
Last scanned: Jul 11, 2026, 5:43 AM127.4s26 files scanned
SKILL.md
- name:
- software-security
- description:
- Project CodeGuard-based secure-by-default coding rules (23 rule files spanning injection, authentication/MFA, cryptography, secrets, authorization, sessions, cloud/Kubernetes, IaC, supply chain, MCP, mobile, logging, privacy) for writing and reviewing secure code across 25+ languages. Use when writing, reviewing, or modifying code, handling user input/credentials/cryptographic operations, or configuring cloud infrastructure/CI-CD/containers. Japanese-localized adaptation of cosai-oasis/project-codeguard (CC-BY-4.0). For organizational AI-development security strategy use ai:securing-ai-development; for dynamic authorization model design (ABAC/ReBAC/Cedar) use cloud:implementing-dynamic-authorization; for OWASP-oriented code security and penetration testing use securing-code. For architecture-level security design methodology use cloud:architecting-security instead.
- codeguard-version:
- 1.3.1
- codeguard-commit:
- a557e7ea6b7a2897178fd97cd60792eebc0a957c
- framework:
- Project CodeGuard
- purpose:
- Embed secure-by-default practices into AI coding workflows
- license:
- CC-BY-4.0
- source:
- https://github.com/cosai-oasis/project-codeguard
- sync-command:
- /update-software-security
ソフトウェアセキュリティスキル（Project CodeGuard）
このスキルは、AIコーディングエージェントがセキュアなコードを生成し、一般的な脆弱性を防ぐための包括的なセキュリティガイダンスを提供する。Project CodeGuard（オープンソースかつモデル非依存の、セキュアバイデフォルトの実践をAIコーディングワークフローへ組み込むセキュリティフレームワーク）に基づいている。
出典・ライセンス: 本スキルは cosai-oasis/project-codeguard（Coalition for Secure AI / OASIS Open Project、CC-BY-4.0）を日本語へ翻訳した翻案物です。原典からの変更点・帰属表示の詳細は
ATTRIBUTION.mdを、ライセンス全文はLICENSE-CC-BY-4.0.mdを参照してください。
このスキルを使うタイミング
このスキルは次の場合に有効化する:
- 任意の言語で新しいコードを書くとき
- 既存コードのレビューや変更を行うとき
- セキュリティ上重要な機能（認証、暗号、データ処理など）を実装するとき
- ユーザー入力・データベース・API・外部サービスを扱うとき
- クラウドインフラ・CI/CDパイプライン・コンテナを構成するとき
- 機密データ・認証情報・暗号処理を扱うとき
このスキルの使い方
コードを書く・レビューするときは以下に従う:
- 常時適用ルール（Always-Apply Rules）: 一部のルールは、あらゆるコード操作で必ず確認しなければならない:
codeguard-1-hardcoded-credentials.md— 機密情報・パスワード・APIキー・トークンを絶対にハードコードしないcodeguard-1-crypto-algorithms.md— 現代的で安全な暗号アルゴリズムのみを使用するcodeguard-1-digital-certificates.md— デジタル証明書を安全に検証・管理する
- タグベースルール（Tag-Based Rules）: コード中に以下のセキュリティコンテキストを特定したら、一致するタグを持つルールをすべて適用する:
| セキュリティコンテキスト（タグ） | 適用するルールファイル | |------------------------|---------------------| | authentication | codeguard-0-authentication-mfa.md, codeguard-0-session-management-and-cookies.md | | data-security | codeguard-0-additional-cryptography.md, codeguard-0-data-storage.md | | infrastructure | codeguard-0-cloud-orchestration-kubernetes.md, codeguard-0-data-storage.md, codeguard-0-devops-ci-cd-containers.md, codeguard-0-iac-security.md | | privacy | codeguard-0-logging.md, codeguard-0-privacy-data-protection.md | | secrets | codeguard-0-additional-cryptography.md, codeguard-1-digital-certificates.md, codeguard-1-hardcoded-credentials.md | | web | codeguard-0-api-web-services.md, codeguard-0-authentication-mfa.md, codeguard-0-client-side-web-security.md, codeguard-0-input-validation-injection.md, codeguard-0-session-management-and-cookies.md |
- 言語別ルール（Language-Specific Rules）: 実装する機能のプログラミング言語に応じて、
/rulesディレクトリから以下の表に従ってルールを適用する:
| 言語 | 適用するルールファイル | |----------|---------------------| | apex | codeguard-0-input-validation-injection.md | | c | codeguard-0-additional-cryptography.md, codeguard-0-api-web-services.md, codeguard-0-authentication-mfa.md, codeguard-0-authorization-access-control.md, codeguard-0-client-side-web-security.md, codeguard-0-data-storage.md, codeguard-0-file-handling-and-uploads.md, codeguard-0-framework-and-languages.md, codeguard-0-iac-security.md, codeguard-0-input-validation-injection.md, codeguard-0-logging.md, codeguard-0-safe-c-functions.md, codeguard-0-session-management-and-cookies.md, codeguard-0-xml-and-serialization.md | | cpp | codeguard-0-safe-c-functions.md | | d | codeguard-0-iac-security.md | | docker | codeguard-0-devops-ci-cd-containers.md, codeguard-0-supply-chain-security.md | | go | codeguard-0-additional-cryptography.md, codeguard-0-api-web-services.md, codeguard-0-authentication-mfa.md, codeguard-0-authorization-access-control.md, codeguard-0-file-handling-and-uploads.md, codeguard-0-input-validation-injection.md, codeguard-0-mcp-security.md, codeguard-0-session-management-and-cookies.md, codeguard-0-xml-and-serialization.md | | hcl | codeguard-0-iac-security.md | | html | codeguard-0-client-side-web-security.md, codeguard-0-input-validation-injection.md, codeguard-0-session-management-and-cookies.md | | java | codeguard-0-additional-cryptography.md, codeguard-0-api-web-services.md, codeguard-0-authentication-mfa.md, codeguard-0-authorization-access-control.md, codeguard-0-file-handling-and-uploads.md, codeguard-0-framework-and-languages.md, codeguard-0-input-validation-injection.md, codeguard-0-mcp-security.md, codeguard-0-mobile-apps.md, codeguard-0-session-management-and-cookies.md, codeguard-0-xml-and-serialization.md | | javascript | codeguard-0-additional-cryptography.md, codeguard-0-api-web-services.md, codeguard-0-authentication-mfa.md, codeguard-0-authorization-access-control.md, codeguard-0-client-side-web-security.md, codeguard-0-cloud-orchestration-kubernetes.md, codeguard-0-data-storage.md, codeguard-0-devops-ci-cd-containers.md, codeguard-0-file-handling-and-uploads.md, codeguard-0-framework-and-languages.md, codeguard-0-iac-security.md, codeguard-0-input-validation-injection.md, codeguard-0-logging.md, codeguard-0-mcp-security.md, codeguard-0-mobile-apps.md, codeguard-0-privacy-data-protection.md, codeguard-0-session-management-and-cookies.md, codeguard-0-supply-chain-security.md | | kotlin | codeguard-0-additional-cryptography.md, codeguard-0-authentication-mfa.md, codeguard-0-framework-and-languages.md, codeguard-0-mobile-apps.md | | matlab | codeguard-0-additional-cryptography.md, codeguard-0-authentication-mfa.md, codeguard-0-mobile-apps.md, codeguard-0-privacy-data-protection.md | | perl | codeguard-0-mobile-apps.md | | php | codeguard-0-additional-cryptography.md, codeguard-0-api-web-services.md, codeguard-0-authentication-mfa.md, codeguard-0-authorization-access-control.md, codeguard-0-client-side-web-security.md, codeguard-0-file-handling-and-uploads.md, codeguard-0-framework-and-languages.md, codeguard-0-input-validation-injection.md, codeguard-0-session-management-and-cookies.md, codeguard-0-xml-and-serialization.md | | powershell | codeguard-0-devops-ci-cd-containers.md, codeguard-0-iac-security.md, codeguard-0-input-validation-injection.md | | python | codeguard-0-additional-cryptography.md, codeguard-0-api-web-services.md, codeguard-0-authentication-mfa.md, codeguard-0-authorization-access-control.md, codeguard-0-file-handling-and-uploads.md, codeguard-0-framework-and-languages.md, codeguard-0-input-validation-injection.md, codeguard-0-mcp-security.md, codeguard-0-session-management-and-cookies.md, codeguard-0-xml-and-serialization.md | | ruby | codeguard-0-additional-cryptography.md, codeguard-0-api-web-services.md, codeguard-0-authentication-mfa.md, codeguard-0-authorization-access-control.md, codeguard-0-file-handling-and-uploads.md, codeguard-0-framework-and-languages.md, codeguard-0-iac-security.md, codeguard-0-input-validation-injection.md, codeguard-0-session-management-and-cookies.md, codeguard-0-xml-and-serialization.md | | rust | codeguard-0-mcp-security.md | | shell | codeguard-0-devops-ci-cd-containers.md, codeguard-0-iac-security.md, codeguard-0-input-validation-injection.md | | sql | codeguard-0-data-storage.md, codeguard-0-input-validation-injection.md | | swift | codeguard-0-additional-cryptography.md, codeguard-0-authentication-mfa.md, codeguard-0-mobile-apps.md | | typescript | codeguard-0-additional-cryptography.md, codeguard-0-api-web-services.md, codeguard-0-authentication-mfa.md, codeguard-0-authorization-access-control.md, codeguard-0-client-side-web-security.md, codeguard-0-file-handling-and-uploads.md, codeguard-0-framework-and-languages.md, codeguard-0-input-validation-injection.md, codeguard-0-mcp-security.md, codeguard-0-session-management-and-cookies.md | | vlang | codeguard-0-client-side-web-security.md | | xml | codeguard-0-additional-cryptography.md, codeguard-0-api-web-services.md, codeguard-0-devops-ci-cd-containers.md, codeguard-0-framework-and-languages.md, codeguard-0-mobile-apps.md, codeguard-0-xml-and-serialization.md | | yaml | codeguard-0-additional-cryptography.md, codeguard-0-api-web-services.md, codeguard-0-authorization-access-control.md, codeguard-0-cloud-orchestration-kubernetes.md, codeguard-0-data-storage.md, codeguard-0-devops-ci-cd-containers.md, codeguard-0-framework-and-languages.md, codeguard-0-iac-security.md, codeguard-0-logging.md, codeguard-0-privacy-data-protection.md, codeguard-0-supply-chain-security.md |
- プロアクティブセキュリティ（Proactive Security）: 脆弱性を避けるだけでなく、安全なパターンを能動的に実装する:
- データベースアクセスにはパラメータ化クエリを使う
- すべてのユーザー入力を検証・サニタイズする
- 最小権限の原則を適用する
- 現代的な暗号アルゴリズムとライブラリを使う
- 多層防御（defense-in-depth）戦略を実装する
CodeGuard セキュリティルール
セキュリティルールは rules/ ディレクトリに格納されている。
利用ワークフロー
コードを生成・レビューするときは、次のワークフローに従う:
1. 初期セキュリティチェック
コードを書く前に:
- 確認: これは認証情報を扱うか？ → codeguard-1-hardcoded-credentials を適用
- 確認: どのセキュリティタグが該当するか？ → 一致するタグ（例: "authentication", "web", "secrets"）を持つルールをすべてロード
- 確認: どの言語を使っているか？ → 該当する言語別ルールを特定
2. コード生成
コードを書きながら:
- 関連する Project CodeGuard ルールのセキュアバイデフォルトのパターンを適用する
- 選択理由を説明するセキュリティ関連コメントを追加する
3. セキュリティレビュー
コードを書いた後に:
- 各ルールの実装チェックリストと照合してレビューする
- ハードコードされた認証情報・機密情報が無いことを確認する
- 該当するすべてのルールが正しく守られているか検証する
- 適用したセキュリティルールを説明する
- 実装したセキュリティ機能を強調して示す
Related Skills
sumik5/developing-fastapi
tools
VerifiedTrustedCommunity
FastAPI (Python) web API development guide covering fundamentals (routing, path/query params, Pydantic models, request/response, error handling), data persistence (SQLAlchemy, SQLModel, async DB, MongoDB, CRUD, Alembic migrations), dependency injection (Depends, dependency_overrides, scopes/lifespan), auth & security (OAuth2, JWT, CORS), async & concurrency (async/await, Starlette, BackgroundTasks, WebSocket, SSE/streaming), testing (TestClient, pytest, httpx, mocking), production deployment & scaling (uvicorn/gunicorn, Docker, optimization), generative-AI services (model serving, streaming, concurrency), and microservice/GraphQL/OpenAPI patterns. MUST load when fastapi is in pyproject.toml/requirements.txt or .py files import fastapi. For Python language/tooling fundamentals (uv/ruff/mypy, packaging, non-FastAPI patterns), use lang:developing-python. For REST/HTTP-spec design, versioning, and API test strategy, use developing-web-apis. For Node.js/Fastify backend services, use building-nodejs-services.
1SKILL.mdUpdated Jul 21, 2026
sumik5/collecting-studying-exams
development
VerifiedTrustedCommunity
studying（スタディング, member.studying.jp）のコースレッスン一覧URLから、配下の「スマート問題集」 「セレクト過去問集（学科試験対策・実技試験対策）」の全問題（問題文・選択肢・正解・解説）を科目単位で 取得し、1科目1JSONファイルに保存する。出力は creating-flashcards スキルへ渡して科目ごとに Anki フラッシュカード化できる。 Use when studying のコースレッスン一覧URL（https://member.studying.jp/course/id/<course_id>/ 形式） を渡され「問題を全部保存したい」「Anki カードにしたい」等と言われたとき。 補足トリガー: studying, スタディング, 資格試験, スマート問題集, セレクト過去問集, 問題集, JSON 保存, Anki 連携。 ブラウザ操作自体の汎用ガイドは web:automating-browser、E2E テストは web:testing-e2e-with-playwright を使う。本スキルは studying 専用の収集ワークフロー + bundled script（scripts/collect-studying.sh） ＋ログイン認証を提供する。
1SKILL.mdUpdated Jul 21, 2026
sumik5/collecting-whizlabs-exams
development
VerifiedTrustedCommunity
Whizlabs のコース practice test 一覧URLから、配下の全クイズ（Free Test・Practice Test 1〜N 等）を practice mode で巡回し、各問題（問題文・選択肢・正解・解説・参考資料）を取得して 1 クイズ 1 JSON ファイルに 保存する。出力は creating-flashcards スキルへ渡してクイズごとに Anki フラッシュカード化できる。 Use when Whizlabs のコースURL（/learn/course/<slug>/<course-id>/pt 形式）を渡され 「問題を全部保存したい」「Anki カードにしたい」等と言われたとき。 補足トリガー: whizlabs, ホイズラボ, 資格試験, 問題集, practice test, quiz 収集, JSON 保存, Anki 連携。 ブラウザ操作自体の汎用ガイドは web:automating-browser、E2E テストは web:testing-e2e-with-playwright を使う。 本スキルは Whizlabs 専用の収集ワークフロー + bundled script（scripts/collect-whizlabs.sh）＋ ログイン認証（agent-browser Auth Vault）を提供する。
1SKILL.mdUpdated Jul 20, 2026
sumik5/developing-flutter-apps
development
VerifiedTrustedCommunity
Guides production Flutter app development with Dart targeting iOS, Android, web, and desktop from a single codebase, including project setup, the widget system (Stateless/Stateful, Material and Cupertino), layout, theming and animation, state management (setState, Provider, Riverpod, BLoC/Cubit, Redux, GetX), navigation and routing (Navigator, go_router, auto_route), networking and backends (http, dio, REST, Firebase, GraphQL), local persistence, responsive multi-platform design, architecture patterns (Clean Architecture, BLoC, MVVM), the pub.dev package ecosystem, widget and integration testing, performance optimization, and build and store release. REQUIRED when creating, implementing, modifying, testing, or shipping a Flutter app, or when pubspec.yaml lists the flutter SDK. For the Dart language itself (types, null safety, OOP, async, collections), use developing-dart. For native iOS/iPadOS apps in Swift/SwiftUI, use developing-ios-apps. For Apple HIG UI/UX decisions, use applying-apple-hig.
1SKILL.mdUpdated Jul 16, 2026