スキル security-scanning-security-sast
📦

security-scanning-security-sast

コンテンツリビジョン r2 高リスク ⚡ スクリプトを含む⚙️ 外部コマンド🌐 ネットワークアクセス📁 ファイルシステムへのアクセス🔑 環境変数

コードのセキュリティ脆弱性をスキャン

チームには、リリース前に繰り返し実行できるソースコードのセキュリティチェックが必要です。このスキルは、SASTツールの設定、検出結果のトリアージ、修正をセキュアコーディングパターンに対応付けることを支援します。

対応: Claude Codex Code(CC)
⚠️ 38 不十分

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト
Review the Skillstore skill "security-scanning-security-sast" from https://skillstore.io/skills/sickn33-security-scanning-security-sast.md and its manifest at https://skillstore.io/api/skills/sickn33-security-scanning-security-sast/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/sickn33-security-scanning-security-sast.md 署名済み manifest GET /api/skills/sickn33-security-scanning-security-sast/manifest 署名済み lockfile GET /api/skills/sickn33-security-scanning-security-sast/lockfile

テストする

「security-scanning-security-sast」を使用しています。 一般的なSAST問題についてPython Flaskサービスをレビューする。

期待される結果:

このレビューでは、デバッグモード、弱いシークレットキー管理、安全でないファイルアクセス、セキュアヘッダーの欠落を取り上げます。優先順位付けされた修正とともに、BanditおよびSemgrepチェックを推奨します。

「security-scanning-security-sast」を使用しています。 Pull RequestワークフローにSASTスキャンを追加する。

期待される結果:

この計画では、Pull Requestで軽量スキャンを実行し、レポートを成果物として保存し、トリアージ後に確認済みの高重大度の検出結果のみをブロックします。

「security-scanning-security-sast」を使用しています。 SemgrepとBanditが混在するレポートをトリアージする。

期待される結果:

  • 確認済みのインジェクション検出結果を最初に一覧表示します。
  • 誤検知の可能性が高いものは、根拠とともに分けて示します。
  • 各修正を担当者と重大度に対応付けます。

セキュリティ監査

高リスク
v7 • 2026/8/26 バージョン別レポートを開く

Most static findings are false positives caused by documentation, detection rules, and secure examples. The ping example permits argument injection, while semantic review found unsafe path containment, suppressed CI failures, swallowed scanner errors, and unpinned tooling.

1
スキャンされたファイル
502
解析済み行数
1
レビュー項目
0
誤検知を無視

確認済みのセキュリティ上の懸念 (4)

高
SKILL.md:210-218
Unsafe Path Containment Check
The secure path example uses string startswith for containment. A sibling path sharing the allowed prefix can pass this check and permit unintended file access.
The code directly compares canonical path strings by prefix, a known boundary error when paths such as uploads-other share the allowed prefix.
高
SKILL.md:449-452SKILL.md:469-472
SAST CI Failures Are Suppressed
The CI examples append || true to scanner commands. Findings, crashes, or configuration errors therefore cannot fail the security job.
Both CI examples explicitly convert every nonzero scanner exit into success, defeating enforcement and masking operational failures.
中
SKILL.md:379-404
Scanner Errors Produce Incomplete Results
The scanner catches every Semgrep exception, prints it, and continues. Callers can receive a normal summary without knowing that one or more rulesets failed.
The broad exception handler records no failure state and does not rethrow, while the outer workflow always generates a summary.
中
SKILL.md:52-56SKILL.md:439-447
Unpinned Security Tool Installation
Installation examples fetch current package and action versions without immutable pins. A compromised or incompatible release could affect CI execution and scan integrity.
The examples install Bandit, Semgrep, and ESLint without versions and reference GitHub Actions by mutable major tags rather than commit hashes.
機能レビュー項目 (1)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

高
SKILL.md:239
Python subprocess.run
subprocess.run(['ping', '-c', '4', user_input]) # Array args
Array arguments prevent shell metacharacter injection, but unvalidated user_input can begin with a dash and inject ping options. This can alter network behavior or trigger resource-intensive modes.

リスク要因

⚡ スクリプトを含む (2)
SKILL.md:111 SKILL.md:190
⚙️ 外部コマンド (50)
SKILL.md:239 SKILL.md:383 SKILL.md:144 SKILL.md:143 SKILL.md:235 SKILL.md:28 SKILL.md:52-57 SKILL.md:57-59 SKILL.md:59-60 SKILL.md:60-64 SKILL.md:64-68 SKILL.md:68-71 SKILL.md:71-73 SKILL.md:73-74 SKILL.md:74-86 SKILL.md:86-90 SKILL.md:90-96 SKILL.md:96-98 SKILL.md:98-99 SKILL.md:99-154 SKILL.md:154-158 SKILL.md:158-159 SKILL.md:159-160 SKILL.md:160-161 SKILL.md:161-170 SKILL.md:170-174 SKILL.md:174-181 SKILL.md:181-191 SKILL.md:191-198 SKILL.md:198-202 SKILL.md:202-209 SKILL.md:209-219 SKILL.md:219-226 SKILL.md:226-231 SKILL.md:231-238 SKILL.md:238-242 SKILL.md:242-249 SKILL.md:249-253 SKILL.md:253-262 SKILL.md:262-277 SKILL.md:277-284 SKILL.md:284-291 SKILL.md:291-298 SKILL.md:298-305 SKILL.md:305-309 SKILL.md:309-423 SKILL.md:423-429 SKILL.md:429-461 SKILL.md:461-465 SKILL.md:465-476
🌐 ネットワークアクセス (2)
SKILL.md:290 SKILL.md:303
📁 ファイルシステムへのアクセス (2)
SKILL.md:131 SKILL.md:61
🔑 環境変数 (12)
SKILL.md:200 SKILL.md:265 SKILL.md:288 SKILL.md:201 SKILL.md:201 SKILL.md:123 SKILL.md:201 SKILL.md:200 SKILL.md:259 SKILL.md:265 SKILL.md:281 SKILL.md:288
監査者: codex 監査履歴を表示 →
このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く
セキュリティ評価

レポートリンクをコピー

https://skillstore.io/skills/sickn33-security-scanning-security-sast/audits/7?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/sickn33-security-scanning-security-sast/security.svg)](https://skillstore.io/skills/sickn33-security-scanning-security-sast?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/sickn33-security-scanning-security-sast?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-security-scanning-security-sast/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/sickn33-security-scanning-security-sast.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
学術引用 (APA · BibTeX · CFF)

APA形式の引用

sickn33. (2026). security-scanning-security-sast security audit report (audit version 7) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-security-scanning-security-sast/audits/7

BibTeX形式の引用

@techreport{sickn33-sickn33-security-scanning-security-sast-2026, author = {sickn33}, title = {security-scanning-security-sast security audit report (audit version 7)}, institution = {Skillstore}, year = {2026}, number = {7}, url = {https://skillstore.io/skills/sickn33-security-scanning-security-sast/audits/7}, note = {Author version unspecified} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "security-scanning-security-sast security audit report (audit version 7)" version: "unspecified" type: report authors: - name: "sickn33" date-released: "2026-08-26" url: "https://skillstore.io/skills/sickn33-security-scanning-security-sast/audits/7" identifiers: - type: other value: "skillstore:sickn33-security-scanning-security-sast:audit:7" description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由 証拠の信頼度: 中
55
アーキテクチャ
85
保守性
87
コンテンツ
69
コミュニティ
78
仕様準拠

作成できるもの

Pull Requestセキュリティレビュー

変更されたファイルに対して対象を絞ったSASTチェックを実行し、マージ前に悪用可能な検出結果を優先順位付けします。

CIセキュリティゲートの設定

明確なレポート出力を備えた、繰り返し実行可能なBandit、Semgrep、またはESLint Securityスキャンをビルドパイプラインに追加します。

レガシーコードのベースライン

古いコードベースを評価し、重大度別に検出結果をグループ化し、段階的な修復作業を計画します。

これらのプロンプトを試す

基本的なSASTレビューを実行する 
SASTスキルを使用してこのリポジトリをレビューしてください。言語を特定し、適切なツールを選び、最もリスクの高い脆弱性パターンを要約してください。
スキャナー検出結果をトリアージする 
SASTスキルを使用してこれらのスキャナー検出結果をトリアージしてください。確認済みのリスク、誤検知の可能性が高いもの、修正を重大度別にグループ化してください。
CI SASTチェックを作成する 
SASTスキルを使用して、このプロジェクト向けのCIセキュリティスキャンを設計してください。ツール、しきい値、成果物、開発者へのフィードバック手順を推奨してください。
カスタムルールを設計する 
SASTスキルを使用して、当社のセキュアコーディングポリシー向けのカスタムSemgrepルールを下書きしてください。対象パターン、期待される一致、テストケースを説明してください。

ベストプラクティス

  • 開発の早い段階でSASTを実行し、リリース前にCIでも再度実行します。
  • 開発者が検出結果を信頼できるように、ルールと除外設定を調整します。
  • 広範なクリーンアップ作業より前に、確認済みのクリティカルおよび高重大度の検出結果を優先します。

回避

  • 承認なしにプロプライエタリコードを外部サービスへアップロードしないでください。
  • トリアージされていない信頼度の低い検出結果を理由にリリースをブロックしないでください。
  • 唯一のセキュリティレビュー手法として1つのスキャナーだけに依存しないでください。

よくある質問

このスキルはスキャナーを自動実行しますか？
SASTワークフロー向けのガイダンスとコマンドを提供します。ツールの実行は、ユーザー環境と承認プロセスに依存します。
どの言語に対応していますか？
Python、JavaScript、TypeScript、Java、Ruby、PHP、Go、Rust、および関連するフレームワークパターンを対象とします。
ペネトレーションテストを置き換えられますか？
いいえ。静的なソースレビューに重点を置いており、より強い保証のためにはランタイムテストと組み合わせるべきです。
カスタムポリシーに対応できますか？
はい。組織固有のセキュリティチェック向けのSemgrepルールガイダンスを含みます。
チームは誤検知をどのように扱うべきですか？
チームはルールを調整し、受容済みリスクを文書化し、確認済みの検出結果をノイズの多い結果と分けて管理する必要があります。
コンプライアンスマッピングに対応していますか？
OWASP、PCI-DSS、SOC 2の文脈を参照しますが、コンプライアンス証跡には引き続き人によるレビューが必要です。

開発者情報

作成者

sickn33

ライセンス

MIT

Skillstore リビジョン

r2

バージョンに関する注意

作者はバージョンを宣言していません。

リポジトリ

https://github.com/sickn33/antigravity-awesome-skills/tree/main/skills/security-scanning-security-sast

参照

4804b3d672af16b8afca785bbb6c5d7c7400a78f

メンテナンスの新しさ

2026/8/27

利用状況

13 ダウンロード · 107 閲覧

ファイル構成

📄 SKILL.md

sickn33 のその他のスキル

すべて表示
📦

senior-fullstack

81

シニアレベルのパターンでフルスタックアプリを構築

チームには、モダンなWebアプリケーション向けに一貫したセットアップ、アーキテクチャ、レビュー指針が必要です。このスキルは、React、Next.js、Node.js、GraphQL、PostgreSQLプロジェクト向けのスキャフォールダー、ワークフローのリファレンス、品質向上のためのプロンプトを提供します。

コーディング＆開発 表示

関連スキル

すべて表示
📦

security-sentinel

79

セキュリティリスクを検出するコード監査

作成者 Barnhardt-Enterprises-Inc

セキュリティに関わるコードは、認証、入力処理、シークレットに潜む欠陥を抱えたまま出荷されやすいものです。このスキルは、Claude、Codex、Claude Code に構造化されたセキュリティリファレンスとスキャナーのガイダンスを提供し、より安全なレビューを支援します。

セキュリティ＆コンプライアンス 表示