name	security-review
description	Webアプリケーションのセキュリティレビューを実施。 OWASP Top 10に基づく脆弱性チェック、認証・認可の検証、入力バリデーション確認。セキュリティチェック、脆弱性診断、コードのセキュリティ評価時に使用。
version	1.0.0

Security Review Skill

Overview

OWASP Top 10をベースにWebアプリケーションのセキュリティをレビューします。

Security Checklist

1. インジェクション (A03:2021)

SQLインジェクション
- パラメータ化クエリを使用しているか
- ORMを適切に使用しているか
コマンドインジェクション
- シェルコマンドに外部入力を渡していないか
XSS (Cross-Site Scripting)
- 出力エスケープを行っているか
- Content Security Policyを設定しているか

2. 認証・認可 (A01:2021, A07:2021)

パスワード
- 適切なハッシュアルゴリズム（bcrypt, Argon2）を使用
- ソルトを使用しているか
- パスワード強度要件があるか
セッション管理
- セッションIDは十分にランダムか
- セッションタイムアウトを設定しているか
- ログアウト時にセッションを破棄しているか
アクセス制御
- 認可チェックが各エンドポイントにあるか
- 水平権限昇格の脆弱性がないか

3. 機密データ (A02:2021)

暗号化
- 機密データは暗号化されているか
- HTTPSを強制しているか
認証情報
- APIキー、パスワードがハードコードされていないか
- 環境変数を使用しているか
ログ
- 機密情報をログに出力していないか

4. 入力検証

すべての入力を検証しているか
ホワイトリスト方式を採用しているか
ファイルアップロードの制限があるか

5. 依存関係

既知の脆弱性がある依存パッケージがないか
依存関係を定期的に更新しているか

Output Format

レビュー結果は以下の形式で出力すること：

## 🔐 セキュリティレビュー結果

### 🚨 Critical（即時対応必須）
- [ファイル:行] 問題の説明
  - 影響: 
  - 修正方法: 

### ⚠️ High（早急に対応）
- [ファイル:行] 問題の説明

### 📋 Medium（計画的に対応）
- [ファイル:行] 問題の説明

### 💡 Recommendations
- 推奨事項

### ✅ Good Practices
- 良い点