スキル firebase-security-rules-auditor

📦

firebase-security-rules-auditor

Name: firebase-security-rules-auditor
Author: firebase

コンテンツリビジョン r1 安全 ⚙️ 外部コマンド

Firebase セキュリティルールを監査

Firestore ルールは、意図せずデータ漏えい、ロール昇格、または安全でない更新を許可してしまうことがあります。このスキルは、Claude、Codex、Claude Code がアクセス制御と検証の不備を重点的にレビューできるよう導きます。

対応: Claude Codex Code(CC)

🥉 77 ブロンズ

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト

Review the Skillstore skill "firebase-security-rules-auditor" from https://skillstore.io/skills/firebase-firebase-security-rules-auditor.md and its manifest at https://skillstore.io/api/skills/firebase-firebase-security-rules-auditor/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/firebase-firebase-security-rules-auditor.md 署名済み manifest GET /api/skills/firebase-firebase-security-rules-auditor/manifest 署名済み lockfile GET /api/skills/firebase-firebase-security-rules-auditor/lockfile

テストする

「firebase-security-rules-auditor」を使用しています。あるルールでは、認証済みユーザーが hasOnly() を使ってプロフィール表示名を更新できますが、所有権チェックがありません。

期待される結果:

重大な指摘: フィールド制限は変更内容を制限しますが、誰が別のプロフィールを変更できるかは制限しません。更新を許可する前に所有権チェックを追加してください。

「firebase-security-rules-auditor」を使用しています。 create ルールはフィールド型を検証しますが、update ルールは同じドキュメントに対して任意の新しいデータを許可します。

期待される結果:

致命的な指摘: update パスで create の検証をバイパスできます。更新にも同じ型、サイズ、許可フィールドのチェックを再利用してください。

「firebase-security-rules-auditor」を使用しています。管理者ルールが固定メールアドレスを確認し、さらに email_verified が true であることも要求しています。

期待される結果:

軽微または問題なし: ユーザーが新しい管理者を追加したり検証をバイパスしたりできるルールがない場合、この限定的なブートストラップパターンは許容される場合があります。

セキュリティ監査

安全

v4 • 2026/7/6 バージョン別レポートを開く

Static analysis flagged Markdown backticks and security-audit wording in SKILL.md. Manual review found these are non-executable Firestore rule references and legitimate audit checklist items, with no prompt injection or malicious intent found.

スキャンされたファイル

解析済み行数

レビュー項目

誤検知を無視

リスク要因

⚙️ 外部コマンド (1)

SKILL.md:19

最新の完了済み静的・セマンティック監査では、確認済みのセキュリティ検出事項は見つかりませんでした。これは、スキルに副作用がないことを証明するものではありません。

監査者: codex 監査履歴を表示 →

このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く

レポートリンクをコピー

https://skillstore.io/skills/firebase-firebase-security-rules-auditor/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/firebase-firebase-security-rules-auditor/security.svg)](https://skillstore.io/skills/firebase-firebase-security-rules-auditor?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/firebase-firebase-security-rules-auditor?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/firebase-firebase-security-rules-auditor/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/firebase-firebase-security-rules-auditor.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学術引用 (APA · BibTeX · CFF)

APA形式の引用

firebase. (2026). firebase-security-rules-auditor security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/firebase-firebase-security-rules-auditor/audits/4

BibTeX形式の引用

@techreport{firebase-firebase-firebase-security-rules-auditor-2026,
  author = {firebase},
  title = {firebase-security-rules-auditor security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/firebase-firebase-security-rules-auditor/audits/4},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "firebase-security-rules-auditor security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
  - name: "firebase"
date-released: "2026-07-06"
url: "https://skillstore.io/skills/firebase-firebase-security-rules-auditor/audits/4"
identifiers:
  - type: other
    value: "skillstore:firebase-firebase-security-rules-auditor:audit:4"
    description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由証拠の信頼度: 中

アーキテクチャ

保守性

コンテンツ

コミュニティ

仕様準拠

作成できるもの

リリース前ルールレビュー

デプロイ前に新しい Firestore ルールを確認し、認可または検証の不備を特定します。

セキュリティトリアージ

ルールの弱点を重大度別に優先順位付けし、具体的な修正タスクに変換します。

プロダクトロジック検証

安全でないショートカットを使わずに、ルールがコラボレーション、所有権、管理者ワークフローをサポートしているかを検証します。

これらのプロンプトを試す

基本的なルールレビュー

これらの Firestore セキュリティルールを監査してください。主なリスクを要約し、1 から 5 のスコアを割り当て、実践的な修正を列挙してください。

更新バイパスチェック

これらのルールを更新バイパスの観点でレビューしてください。ロール、所有権フィールド、サイズ、データ型について、create と update の検証を比較してください。

所有権とロールのレビュー

これらのルールがユーザー提供の権限フィールドを信頼していないか監査してください。ownerId、role、isAdmin、およびコラボレーターのアクセスパスを確認してください。

リリースゲート評価

これらの Firestore ルールについてリリースゲート監査を実施してください。重大度、エクスプロイトシナリオ、影響を受けるワークフロー、推奨されるルール変更を含めてください。

ベストプラクティス

レビューを依頼する前に、完全なルール、コレクションの目的、想定されるユーザーロールを提供してください。
データ漏えい、権限昇格、検証バイパス、サービス拒否リスクについて、個別の指摘を依頼してください。
推奨事項を使ってルールを更新し、修正版に対して 2 回目の監査を実行してください。

回避

アプリのワークフローとユーザーロールを説明せずに、切り離されたスニペットだけを監査しないでください。
hasOnly() や diff() を、それ自体で所有権チェックとして扱わないでください。
update ルールが create 時に使われる検証を省略している場合、高いスコアを受け入れないでください。

よくある質問

このスキルは何を監査しますか?

Firestore セキュリティルールについて、認可、所有権、検証、ビジネスロジック上の弱点を監査します。

Claude、Codex、Claude Code をサポートしていますか?

はい。レポートメタデータには Claude、Codex、Claude Code のサポートが記載されています。

ライブの Firebase プロジェクトに対してルールをテストできますか?

いいえ。ライブエミュレーターや本番環境でのテストではなく、推論に基づくレビューと推奨事項を提供します。

どのような入力を提供すべきですか?

完全な Firestore ルールファイル、ユーザーロール、コレクションの目的、機密フィールドを提供してください。

スコアをどのように使うべきですか?

スコアはトリアージのシグナルとして使用し、リリース前にすべての critical および major の指摘を修正してください。

セキュリティレビューを代替できますか?

いいえ。一般的なルールの弱点を見つけるのに役立ちますが、リスクの高いアプリケーションでは依然として専門家によるレビューとテストが必要です。

開発者情報

作成者

firebase

ライセンス

MIT

Skillstore リビジョン

バージョンに関する注意

作者はバージョンを宣言していません。

リポジトリ

https://github.com/firebase/agent-skills/tree/main/skills/firebase-security-rules-auditor/

参照

a06681402992ceae98ba04d54cfd4ab004862696

メンテナンスの新しさ

2026/7/18

利用状況

1 ダウンロード · 23 閲覧

ファイル構成

📄 SKILL.md

firebase のその他のスキル

すべて表示

📦

firestore-security-rules-auditor

Firestore セキュリティルールを監査する

Firestore ルールでは、更新によるバイパス、所有権チェック、検証の抜けが見落とされがちです。このスキルは、Claude、Codex、または Claude Code による重点的なセキュリティレビューをガイドします。

セキュリティ＆コンプライアンス表示

📦

firebase-ai-logic-basics

アプリに Firebase AI Logic を統合する

Firebase アプリに Gemini 機能を追加するには、プラットフォーム固有のセットアップと本番環境向けの保護策が必要です。このスキルは、Web、モバイル、Flutter プロジェクト向けに Firebase AI Logic の実践的なガイダンスを提供します。

コーディング＆開発表示

📦

firebase-ai-logic

Firebase AI Logic を統合

開発者は、別のバックエンドを保守せずに Firebase AI 機能を必要とすることがよくあります。このスキルは、Web アプリ向けに、セットアップ、Gemini モデルの使用、マルチモーダルプロンプト、構造化出力、本番環境のセキュリティをガイドします。

コーディング＆開発表示

📦

firebase-firestore-standard

Firestore Standard アプリを安全に構築

Firestore のセットアップは、rules、indexes、SDK の使用方法を別々に計画すると失敗することがあります。このスキルは、Claude、Codex、Claude Code が安全なプロジェクトファイルを作成し、アクセスパターンを検証し、Web SDK 統合をガイドするのに役立ちます。

DevOps＆インフラ表示

📦

developing-genkit-js

Genkit JS アプリを構築する

Genkit は変化が速く、古い例は TypeScript フローの破綻を引き起こします。このスキルは、現在の Genkit JavaScript 作業におけるセットアップ、ドキュメント検索、例、トラブルシューティングをガイドします。

コーディング＆開発表示

📦

firebase-hosting-basics

Firebase Hosting サイトをデプロイする

Firebase Hosting のセットアップでは、従来の Hosting、App Hosting、デプロイチャネルのどれを選ぶかで混乱することがあります。この skill は、静的サイト、SPA、シンプルなサービス向けに、構成、ローカルエミュレーション、プレビューチャネル、安全なリリースについてエージェントをガイドします。

DevOps＆インフラ表示

すべて表示

📦