ソースコード侵入テスト分析プロンプト

1. エグゼクティブサマリー - 全体的なセキュリティ態勢とリスク評価（Critical/High/Medium/Low） - 最も重大な発見事項トップ3〜5 - ビジネスへの影響 2. プロジェクト概要（コード分析より） - 技術スタック（フロントエンド、バックエンド、データベース、フレームワーク、ライブラリ） - アーキテクチャ（モノリス、マイクロサービス、SPA、SSRなど） - 認証方式（JWT、セッション、OAuthなど） - 主要機能（ユーザーロール、決済、ファイルアップロード、API、管理パネルなど） 3. 設定とデプロイメントのセキュリティ - セキュリティヘッダーの実装（またはその欠如） - 環境変数とシークレット管理（.envファイル、ハードコードされたキー） - サーバー/フレームワーク設定（デバッグモード、エラーハンドリング、CORS） - TLS/HTTPSの強制 - Dockerfileとコンテナセキュリティ（USER、公開ポート、ベースイメージ） 4. 認証とセッション管理 - パスワード保存（ハッシュアルゴリズム、ソルト） - JWT実装（署名検証、有効期限、シークレット） - セッション/クッキーのセキュリティフラグ（Secure、HttpOnly、SameSite） - レート制限、ブルートフォース保護 - パスワードポリシーの強制 5. 認可とアクセス制御 - ロールベースまたはポリシーベースのアクセス制御実装 - 潜在的なIDORベクター（URL内のユーザーID、ファイルパス） - 垂直/水平権限昇格のリスク - 管理エンドポイントの露出 6. 入力検証とインジェクション脆弱性 - SQL/NoSQLインジェクションリスク（生クエリ vs ORM使用） - コマンドインジェクション（exec、eval、シェルコマンド） - XSSリスク（安全でないinnerHTML、サニタイゼーション/エスケープの欠如） - ファイルアップロードの脆弱性（MIMEチェック、パストラバーサル） - オープンリダイレクト 7. APIセキュリティ - REST/GraphQLエンドポイントの露出と認証 - APIのレート制限 - 過剰なデータ露出（過剰フェッチ） - マスアサインメント脆弱性 8. ビジネスロジックとクライアントサイドの問題 - 潜在的なロジックフロー（価格改ざん、レースコンディション） - クライアントサイド検証への依存 - localStorage/sessionStorageの安全でない使用 - サードパーティライブラリのリスク（依存関係の既知の脆弱性） 9. 暗号化と機密データ - ハードコードされたシークレット、APIキー、トークン - 弱い暗号化プラクティス - 機密データのロギング 10. 依存関係とサプライチェーンセキュリティ - 古いまたは脆弱な依存関係（package-lock.json、yarn.lockなどを確認） - 使用中のライブラリの既知のCVE 11. 発見事項サマリーテーブル - 脆弱性 | 重大度 | ファイル/場所 | 説明 | 推奨事項 12. 優先順位付けされた修復ロードマップ - Critical/Highの問題 → 直ちに修正 - Medium → 次のスプリント - Low → 継続的な改善 13. 結論とセキュリティ推奨事項 問題を参照する際は、ファイルパスまたはコードスニペット（可能であれば行番号付き）を強調してください。不明な点やファイルが欠落している場合は、明確化を求めてください。 この分析は、セキュリティ向上と教育目的のみを目的としています。 では、コードレビューを開始し、レポートを生成してください。