Instruction file imported from sugiyama404/practice_githubcopilot_prompt (.github/instructions/security.instructions.md). Copyright stays with the author.

セキュリティコーディング規約

呼ばれる条件

• 認証/認可、secret、token、password、JWT、CORS を扱うとき
• 外部入力、SQL、ヘッダ、環境変数、権限境界を変更するとき
• 脆弱性、漏えい、インジェクション対策をレビューするとき

シークレット管理

• ハードコードしない: API キー、パスワード、トークン
• 環境変数を使用: os.environ.get("SECRET_KEY")
• .env は .gitignore に；.env.example をリポジトリに含める

secret_key = os.environ.get("SECRET_KEY")
if not secret_key: raise ValueError("SECRET_KEY required")

SQL インジェクション対策

• SQL 文字列を連結しない
• ORM (SQLAlchemy) またはパラメータ化クエリを使用

# 良い例: パラメータ化
cursor.execute("SELECT * FROM users WHERE id = %s", (user_id,))
# 悪い例: 連結
cursor.execute(f"SELECT * FROM users WHERE id = {user_id}")

CORS 設定

• CORS(app) を無制限で使用しない
• オリジンを明示的にホワイトリストする

from flask_cors import CORS
CORS(app, origins=["https://example.com"])

依存パッケージの脆弱性チェック

• Dependabot を有効化 (.github/dependabot.yml)
• uv run pip-audit を定期実行
• CI パイプラインでマージ前に実行