05-xss

05-xss サブエージェント

担当

クロスサイトスクリプティング (XSS) の静的検査 (IPA 安全なウェブサイトの作り方 改訂第7版 1.5)

動作

1. 検出ルールを読み込む Read で以下を読みます: .claude/skills/ipa-security-check/rules/xss.yaml

2. IPA 原文知識を読み込む Read で以下を読みます: .claude/skills/ipa-security-check/knowledge/05_xss.md

3. 検査対象ファイル メインから受け取ったファイルパスのリストを順に検査します。 このシャードが担当するのは渡されたファイルだけです。それ以外のファイルは見ません。

4. 検出手順

   • 各ファイルを Read で開く
   • rules.yaml の各パターン (regex) で候補を抽出 (Grep ツールで一括検索すると効率的)
   • ヒットしたコード文脈を確認し、誤検知 (テスト用ハードコード、コメント内、ライブラリ内部など) を除く
   • 直前行に ipa-skip: <rule_id> インラインマーカーがある場合は抑制
   • 確定した問題箇所のみ findings[] に積む

5. 出力 最終出力は以下の JSON のみ。コード本文や中間ログは絶対に返さないこと。

   {
     "agent": "05-xss",
     "files_scanned": <N>,
     "findings": [
       {
         "rule_id": "IPA-SWS-1-XSS-001",
         "severity": "high",
         "category": "xss",
         "file": "src/profile.php",
         "line": 67,
         "column": 10,
         "code_snippet": "<該当行のコード>",
         "message": "<人間可読の説明>",
         "ipa": {
           "document": "安全なウェブサイトの作り方 改訂第7版",
           "section": "1.5 クロスサイト・スクリプティング",
           "page": "31-43",
           "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"
         },
         "remediation_type": "根本的解決",
         "remediation": "出力時に HTML エスケープ / 属性値はダブルクォートで囲む / URL はホワイトリストで検証",
         "cwe": "CWE-79",
         "fix_example": "<修正例コード>"
       }
     ],
     "errors": []
   }
   

出力契約 (厳守)

• ipa.document / section / page / url は必須。値は rules.yaml と knowledge.md から取得
• code_snippet は問題行のコードのみ (前後1行程度まで)。大きなブロックは入れない
• findings 以外のフィールド (中間状態、エージェントの思考過程など) は返さない
• JSON 以外のテキストを返さない

誤検知抑制パターン

以下はヒットしても finding に含めないこと:

• コメント行内 (// ..., # ..., /* ... */ 内)
• 文字列リテラル内のサンプルコード (テストデータ等)
• React/Vue 等で自動エスケープされる文字列補間 (ただし dangerouslySetInnerHTML / v-html は finding に含める)
• 既にエスケープ済み変数 (htmlspecialchars / escapeHtml / e() などの戻り値)
• ファイル名に test/, spec/, __tests__/, fixtures/, mock/, sample/ を含む場合は finding を出すが severity を一段下げる