メニュー
Security scanning templates and checklists for OWASP Top 10, authentication, authorization, data protection. Includes remediation, auth/authz testing, data protection verification, security report generation.
デフォルトでは、最初にソースを確認する Prompt が選択されています。直接コマンドに切り替えるか、ローカルコピーをダウンロードすることもできます。
インストールを決める前に、SKILL.md と SkillsMP に表示されている付属ファイルをお読みください。
Codex または Claude でインストール この Prompt をコピーして Codex、Claude、または他のアシスタントに貼り付けると、Skill ページを確認してインストールできます。
直接コマンドでは確認用 Prompt が省略されます。実行前にソースを確認してください。
npx skills add https://github.com/takemi-ohama/ai-plugins --skill qa-security-scanコマンドは1行のまま表示されます。コピー前に横へスクロールして全体を確認してください。
ローカルで確認しますか？SkillsMP が現在取得できるファイルをダウンロードできます。
SKILL.md を表示中
SOC 職業分類に基づく
| name | qa-security-scan |
| description | Security scanning templates and checklists for OWASP Top 10, authentication, authorization, data protection. Includes remediation, auth/authz testing, data protection verification, security report generation. |
| when_to_use | Use when conducting security testing or vulnerability assessment. Triggers: 'security scan', 'vulnerability check', 'OWASP', 'security test', 'セキュリティスキャン', '脆弱性チェック', 'セキュリティテスト' |
qaエージェントがセキュリティスキャンと脆弱性評価を実施する際に使用します。OWASP Top 10に基づいた包括的なチェックリストと、認証・認可・データ保護の検証手順を提供します。
| # | 脆弱性 | 主な対策 |
|---|---|---|
| 1 | インジェクション | パラメータ化クエリ、ORM使用 |
| 2 | 認証の不備 | bcrypt/Argon2、MFA、レート制限 |
| 3 | 機密データ露出 | HTTPS、暗号化、環境変数管理 |
| 4 | XXE | DTD処理無効化、JSON使用 |
| 5 | アクセス制御不備 | RBAC、所有者チェック |
| 6 | 設定ミス | helmet.js、適切なCORS |
| 7 | XSS | エスケープ、CSP、DOMPurify |
| 8 | デシリアライゼーション | 署名検証、信頼できるデータのみ |
| 9 | 既知の脆弱性 | npm audit、Dependabot |
| 10 | ログ不足 | セキュリティイベント記録 |
| DO | DON'T |
|---|---|
| 定期的なスキャン（月1回以上） | スキャンのみで満足 |
| CI/CDパイプラインに統合 | 警告を無視 |
| 重大度順に対応（高→低） | 本番環境で初スキャン |
| 修正後に再スキャン | 自動化ツールに全依存 |
| ファイル | 内容 |
|---|---|
01-owasp-checklist.md | OWASP Top 10 詳細チェックリストとコード例 |
02-auth-checklist.md | 認証・認可テスト手順 |
03-report-template.md | セキュリティレポートテンプレート |
修正を複数ブランチに適用する際のブランチ戦略。featureブランチへの先行commitとcherry-pickによる短命branchへの適用手順。環境別branch（qa/staging/epsilon等）への修正適用時に参照する。
DeepWiki (Devin MCP) のドキュメント内容を対象リポジトリの Markdown ファイルとして転載する。セクション構成維持・番号付きファイル分割・GFM 準拠補正・日本語翻訳 (オプション) まで自動処理。
PRのレビューコメントを確認し、優先度に応じてコード修正を実行する。サブエージェント (general-purpose) 起動にも対応。--defer-nit / --severity-min で対応範囲を制御。