スキル api-spectral

📦

api-spectral

Name: api-spectral
Author: AgentSecOps

v0.1.0 コンテンツリビジョン r2 重大 ⚙️ 外部コマンド🌐 ネットワークアクセス📁 ファイルシステムへのアクセス🔑 環境変数⚡ スクリプトを含む

Spectral で API 仕様を検証

API チームには、実装とリリースの前に一貫したセキュリティチェックが必要です。このスキルは、Spectral リント、OWASP API ルールのマッピング、CI 検証ワークフローをガイドします。

対応: Claude Codex Code(CC)

⚠️ 38 不十分

この Skill を自動インストールしないでください。

基準ポリシーにより、インストール操作の前にオペレーターのレビューが必要です。

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト

Review the Skillstore skill "api-spectral" from https://skillstore.io/skills/agentsecops-api-spectral.md and its manifest at https://skillstore.io/api/skills/agentsecops-api-spectral/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/agentsecops-api-spectral.md 署名済み manifest GET /api/skills/agentsecops-api-spectral/manifest 署名済み lockfile GET /api/skills/agentsecops-api-spectral/lockfile

テストする

「api-spectral」を使用しています。支払い用 OpenAPI ファイルに公開エンドポイントがあり、セキュリティ要件が不足している。

期待される結果:

レビューでは、未認証の操作、HTTPS 適用の不足、機密性の高いレスポンスフィールドを検証するためのルールが強調されます。

「api-spectral」を使用しています。チームがプルリクエストに Spectral チェックを追加したい。

期待される結果:

ワークフロープランでは、インストール、リント、レポート、失敗処理のステップを分離し、展開に推奨される重要度しきい値を示します。

「api-spectral」を使用しています。組織が API ガバナンス向けのカスタムルールを必要としている。

期待される結果:

ガイダンスでは、一貫した導入のために、ルール名、重要度レベル、OWASP マッピング、テストケース、修復メッセージを定義します。

セキュリティ監査

重大

v9 • 2026/7/23 バージョン別レポートを開く

Most alerts are false positives caused by Markdown, defensive examples, fixed local file reads, or reference URLs. Confirmed risks include unverified remote downloads, mutable CI dependencies, token exposure, and fail-open scanner steps. These supply-chain and enforcement weaknesses require remediation before publication.

スキャンされたファイル

3,749

解析済み行数

レビュー項目

誤検知を無視

確認済みのセキュリティ上の懸念 (3)

重大

assets/ci-config-template.yml:240

Pipe to shell pattern

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

The template pipes an unverified installer from a mutable upstream branch directly into bash. This creates a direct supply-chain remote code execution path in CI.

高

assets/ci-config-template.yml:54-58 assets/ci-config-template.yml:161-164 assets/ci-config-template.yml:196-199 assets/github-actions-template.yml:37-38

Unpinned CI dependencies execute mutable upstream code

The templates install unversioned packages and run actions from mutable tags, including a master branch. Upstream compromise can change code executed by CI.

The files directly show unversioned package installation, mutable action tags, and aquasecurity/trivy-action@master in executable workflow steps.

高

assets/ci-config-template.yml:125-139 assets/ci-config-template.yml:228-255 assets/github-actions-template.yml:43-58

Security pipeline can pass after scanner failures

Several scanner commands suppress failures, while later checks omit or only warn on some results. Tool errors and detected vulnerabilities can leave the workflow successful.

The templates explicitly use continue-on-error or || true, and the npm audit output is not included in the dependency failure check.

機能レビュー項目 (4)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

重大

assets/ci-config-template.yml:240

Hardcoded URL

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

The mutable upstream URL supplies an installer directly to bash on the same line. A compromised branch or connection can produce arbitrary CI code execution.

高

assets/ci-config-template.yml:164

Git platform tokens

GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

The workflow gives GITHUB_TOKEN to a third-party action referenced by a mutable version tag. Compromise of that action could misuse the workflow's repository permissions.

高

assets/github-actions-template.yml:66

Hardcoded URL

https://raw.githubusercontent.com/SecOpsAgentKit/skills/main/appsec/api-spectral/scripts/parse_spect

The workflow downloads a Python script from a mutable main branch and executes it on line 70 without a digest or signature check. Upstream compromise would execute in CI.

高

assets/github-actions-template.yml:165

Hardcoded URL

https://raw.githubusercontent.com/SecOpsAgentKit/skills/main/appsec/api-spectral/assets/spectral-owa

The workflow downloads a Spectral ruleset from a mutable main branch and immediately consumes it. Malicious upstream changes could alter validation or load unsafe rule behavior.

リスク要因

⚙️ 外部コマンド (50)

🌐 ネットワークアクセス (25)

📁 ファイルシステムへのアクセス (9)

assets/ci-config-template.yml:323 assets/ci-config-template.yml:323 assets/github-actions-template.yml:104 assets/github-actions-template.yml:103 assets/github-actions-template.yml:104 assets/github-actions-template.yml:128 references/custom_rules_guide.md:420 SKILL.md:365 SKILL.md:370

🔑 環境変数 (23)

⚡ スクリプトを含む (2)

references/EXAMPLE.md:138 references/EXAMPLE.md:137

検出されたパターン

Pipe to shell pattern

監査者: codex 監査履歴を表示 →

このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く

レポートリンクをコピー

https://skillstore.io/skills/agentsecops-api-spectral/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-api-spectral/security.svg)](https://skillstore.io/skills/agentsecops-api-spectral?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/agentsecops-api-spectral?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-api-spectral/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/agentsecops-api-spectral.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学術引用 (APA · BibTeX · CFF)

APA形式の引用

AgentSecOps. (2026). api-spectral security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-api-spectral/audits/9

BibTeX形式の引用

@techreport{agentsecops-agentsecops-api-spectral-2026,
  author = {AgentSecOps},
  title = {api-spectral security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/agentsecops-api-spectral/audits/9},
  note = {Author version 0.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "api-spectral security audit report (audit version 9)"
version: "0.1.0"
type: report
authors:
  - name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-api-spectral/audits/9"
identifiers:
  - type: other
    value: "skillstore:agentsecops-api-spectral:audit:9"
    description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由証拠の信頼度: 中

アーキテクチャ

100

保守性

コンテンツ

コミュニティ

仕様準拠

作成できるもの

API 設計チェックの標準化

共有 Spectral ルールを作成し、チームが同じセキュリティ要件とガバナンス要件に従うようにします。

マージ前のセキュリティレビュー

OWASP API ルールを使用して OpenAPI の変更をレビューし、リスクの高い設計上の指摘を優先順位付けします。

CI API リントの追加

ワークフローテンプレートを調整して Spectral チェックを実行し、プルリクエストにレビュー結果を公開します。

これらのプロンプトを試す

単一の API 仕様をチェック

Spectral セキュリティルールで私の OpenAPI 仕様をレビューしてください。最優先の問題を一覧化し、それぞれの修正方法を簡単な言葉で説明してください。

OWASP ルールを作成

OWASP API Security Top 10 リスク向けの Spectral ルールセット作成を手伝ってください。認証、HTTPS、機密データ、SSRF に重点を置いてください。

CI 適用の調整

Spectral API リントの CI ワークフローを設計してください。警告から始め、その後エラーレベルのセキュリティ指摘をブロックする形に移行してください。

API ポートフォリオのガバナンス

多数の API 仕様に対する Spectral ガバナンスプロセスを計画してください。ルールのオーナーシップ、例外処理、レポート、修復追跡を含めてください。

ベストプラクティス

CI テンプレートを使用する前に、ツールのバージョンを固定し、ワークフロー権限をレビューします。
信頼度の高いセキュリティルールから開始し、誤検知をレビューした後でカバレッジを拡大します。
各カスタムルールを、明確なリスク、オーナー、修復パスに対応付けます。

回避

チームが指摘内容を理解する前に、すべての警告でビルドをブロックしないでください。
API 仕様に実際の認証情報、内部ホスト名、機密性の高い例を含めないでください。
バージョン固定と整合性チェックなしに、リモートダウンロード手順を CI にコピーしないでください。

よくある質問

このスキルは Spectral を自動実行しますか？

いいえ。ガイダンス、ルールセット、ワークフローテンプレートを提供します。Spectral は自分の環境で実行します。

どの API 形式が対象ですか？

ガイダンスは、Spectral がそれらの形式をサポートする範囲で OpenAPI、AsyncAPI、Arazzo を対象としています。

Claude、Codex、Claude Code で使用できますか？

はい。マーケットプレイスのメタデータでは、対応ツールとして Claude、Codex、Claude Code が記載されています。

OWASP ルールは完全ですか？

実用的な出発点を提供します。自分の API アーキテクチャとリスクモデルに合わせてルールを調整する必要があります。

CI テンプレートはそのまま使用できますか？

まずレビューしてください。本番利用前に、バージョンを固定し、不要なダウンロードを削除し、トークンのスコープを制限してください。

Spectral はすべての API 脆弱性を見つけますか？

いいえ。Spectral は仕様のパターンをチェックします。ランタイムテスト、脅威モデリング、コードレビューは引き続き必要です。

開発者情報

作成者

AgentSecOps

ライセンス

MIT

作者バージョン

v0.1.0

Skillstore リビジョン

リポジトリ

https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/appsec/api-spectral

参照

9e952417e76879bc9d853e1b8b2cd6d6d8d4a1c2

メンテナンスの新しさ

2026/7/25

利用状況

4 ダウンロード · 463 閲覧

ファイル構成

📁 assets/

📄 .gitkeep

📄 ci-config-template.yml

📄 github-actions-template.yml

📄 rule-template.yaml

📄 spectral-owasp.yaml

📁 references/

📄 custom_rules_guide.md

📄 EXAMPLE.md

📄 owasp_api_mappings.md

📄 WORKFLOW_CHECKLIST.md

信頼性の高い REST および GraphQL API を設計する

作成者 AutumnsGrove

API チームには、一貫したエンドポイント、認証、ドキュメントが必要です。このスキルは、REST、GraphQL、OpenAPI、バージョニング、セキュリティ設計の意思決定を支援します。

コーディング＆開発表示

api-spectral

自分のエージェントでインストール

エージェントが読めるリソース

テストする

セキュリティ監査

確認済みのセキュリティ上の懸念 (3)

リスク要因

検出されたパターン

レポートリンクをコピー

Markdownバッジ

HTMLバッジ

埋め込みカード

APA形式の引用

BibTeX形式の引用

CITATION.cff

Skillstore スコア

作成できるもの

API 設計チェックの標準化

マージ前のセキュリティレビュー

CI API リントの追加

これらのプロンプトを試す

ベストプラクティス

回避

よくある質問

開発者情報

AgentSecOps のその他のスキル

pytm

container-hadolint

dast-nuclei

sast-semgrep

sca-trivy

dast-zap

関連スキル

global-validation

auth-handler

backend-security-coder

security-review

api-security-testing

api-designer