backend-agent
ワークスペース分離を備えたセキュアなバックエンドAPIの構築
安全でないマルチテナントアプリケーションの構築を止めましょう。このエージェントは、Supabaseデータベースに対する適切なワークスペース分離、認証、および行レベルセキュリティを実装します。
スキルZIPをダウンロード
Claudeでアップロード
設定 → 機能 → スキル → スキルをアップロードへ移動
オンにして利用開始
テストする
「backend-agent」を使用しています。 ワークスペース分離を備えた連絡先一括更新用のセキュアなAPIエンドポイントを作成
期待される結果:
- POSTハンドラーを備えた/api/contacts/bulk-updateを作成しました
- workspace_id検証と認証チェックを追加しました
- 適切なエラー処理を備えた一括更新を実装しました
- すべての更新に対する監査ログを追加しました
- 複数のワークスペースでテストしました - データは適切に分離されています
「backend-agent」を使用しています。 データ漏洩している既存のAPIルートにワークスペースフィルタリングを追加
期待される結果:
- クエリ内の欠落しているワークスペースフィルターを特定しました
- すべてのSELECT文に.eq('workspace_id', workspaceId)を追加しました
- workspaceIdパラメータのnullチェックを追加しました
- ユーザーが要求されたワークスペースに属していることを確認しました
- クロスワークスペースアクセスをテストしました - 適切にブロックされています
セキュリティ監査
安全This is a documentation-only skill with no executable code. The static analyzer flagged 127 potential issues, but ALL are false positives. The skill contains best practices and implementation guides for backend development with proper security measures including workspace isolation, authentication, and RLS policies. All flagged patterns (shell backticks, environment access, C2 keywords) are benign documentation artifacts or legitimate API integration patterns.
リスク要因
🌐 ネットワークアクセス (1)
📁 ファイルシステムへのアクセス (1)
⚡ スクリプトを含む (1)
⚙️ 外部コマンド (58)
品質スコア
作れるもの
マルチテナントAPIの構築
ワークスペースと組織ごとに顧客データを適切に分離するセキュアなAPIエンドポイントを作成
RLSポリシーの実装
適切なユーザー認可チェックを備えた行レベルセキュリティをSupabaseテーブルに追加
サードパーティ統合の追加
メール処理のためのGmail APIと決済のためのStripeを適切な認証とともに統合
これらのプロンプトを試す
/api/contactsにPOSTエンドポイントを作成し、workspace_idを検証し、認証をチェックし、適切なRLSポリシーで新しい連絡先を保存してください
このデータベースクエリにワークスペースフィルタリングを追加し、認証されたユーザーのワークスペースのレコードのみを返すようにしてください
未読メールを取得し、Claude AIで処理し、結果をデータベースに保存するGmail API統合を作成してください
campaignsテーブルに行レベルセキュリティポリシーを作成し、ユーザーが自分のワークスペース内のレコードのみにアクセスできるようにしてください
ベストプラクティス
- マルチテナント分離のために、常にworkspace_idとorganization_idでクエリをフィルタリングする
- 多層防御としてすべてのデータベーステーブルでRLSポリシーを有効にする
- コンプライアンスのために、ユーザーコンテキストを含むすべての変更をauditLogsテーブルに記録する
回避
- マルチテナントアプリケーションでワークスペースフィルタリングをスキップしない
- 生のデータベースエラーをAPIクライアントに直接公開しない
- APIキーをハードコーディングしない - 代わりに環境変数を使用する