zhinan904/authorized-appsec

authorized-appsec は何をしますか？

CLI フレンドリーな Codex スキルで、許可された Web、API、アプリケーションのセキュリティ評価を証拠ベースのレポート、構造化ワークフロー、安全なテスト境界で実現します。

機能

• 構造化ワークフロー: 偵察、脆弱性スキャン、手動テスト、レポート作成の各フェーズを定義。
• 証拠駆動型レポート: 各発見に対してスクリーンショット、ログ、ペイロードなどの証拠を自動収集。
• 安全なテスト境界: 許可されたスコープを設定し、それを超えるリクエストをブロック。
• CLI フレンドリー: コマンドラインから直接、テスト計画の作成、実行、レポート出力を実行。

使い方

前提条件

• Codex 対応の AI エージェント (例: Claude Code, Cursor)
• 評価対象への明示的な許可

クイックスタート

# スキルを初期化
codex init authorized-appsec

# テスト計画を作成
codex run authorized-appsec plan --target https://example.com

# 評価を実行
codex run authorized-appsec scan --plan plan.json

# レポートを生成
codex run authorized-appsec report --output report.md

設定

設定は appsec-config.json ファイルで管理します。

{
  "targets": ["https://example.com", "https://api.example.com"],
  "scope": {
    "allowed_paths": ["/", "/api"],
    "excluded_paths": ["/admin", "/backup"],
    "allowed_methods": ["GET", "POST", "PUT", "DELETE"]
  },
  "scan_depth": "moderate",
  "evidence_collection": {
    "screenshots": true,
    "logs": true
  }
}

ワークフロー

1. 偵察: 対象の情報収集 (サブドメイン、技術スタックなど)
2. 脆弱性スキャン: 自動ツールを使用した脆弱性検出
3. 手動テスト: 発見された脆弱性の手動確認
4. 報告: 構造化レポートの生成 (Markdown, PDF など)

例

# 単一ターゲットの評価
codex run authorized-appsec scan --target https://example.com --output ./results

# 複数ターゲットの評価
codex run authorized-appsec scan --targets targets.txt --output ./results

注意事項

• このスキルは 許可されたテスト にのみ使用してください。
• テスト前に必ずスコープを定義し、遵守してください。
• 生成されたレポートは機密情報を含む可能性があるため、適切に管理してください。

トラブルシューティング

• エラー: 許可されていないターゲット: スコープ設定を確認してください。
• エラー: レポート生成に失敗: appsec-config.json の設定を確認してください。
• ログレベル: LOG_LEVEL=debug 環境変数で詳細ログを有効にできます。

貢献

Issue または Pull Request を歓迎します。詳細は CONTRIBUTING.md を参照してください。

ライセンス

MIT