security-review

原文涵盖的主题

• セキュリティレビュースキル
• 有効化するタイミング
• セキュリティチェックリスト
• 1. シークレット管理
• FAIL: 絶対にしないこと
• PASS: 常にすること
• 検証ステップ
• 2. 入力検証

このスキルは、すべてのコードがセキュリティのベストプラクティスに従い、潜在的な脆弱性を特定することを保証します。 認証または認可の実装 ユーザー入力またはファイルアップロードの処理 新しいAPIエンドポイントの作成 シークレットまたは資格情報の操作 支払い機能の実装 機密データの保存または送信 サードパーティAPIの統合 [ ] ハードコードされたAPIキー、トークン、パスワードなし [ ] すべてのシークレットを環境変数に [ ] .env.localを.gitignoreに [ ] git履歴にシークレットなし [ ] 本番シークレットはホスティングプラットフォーム（Vercel、Railway）に [ ] すべてのユーザー入力をスキーマで検証 [ ] ファイルアップロードを制限（サイズ、タイプ、拡張子） [ ] クエリでのユーザー入力の直接使用なし [ ] ホワイトリスト検証（ブラックリストではなく） [ ] エラーメッセージが機密情報を漏らさない [ ] すべてのデータベースクエリがパラメータ化されたクエリを使用 [ ] SQLでの文字列連結なし [ ] ORM/クエリビルダーを正しく使用 [ ] Supabaseクエリが適切にサニタイズされている [ ] トークンはhttpOnly Cookieに保存（localStorageではなく） [ ] 機密操作前の認可チェック [ ] SupabaseでRow Level Securityを有効化 [ ] ロールベースのアクセス制御を実装 [ ] セッション管理が安全 [ ] ユーザー提供のHTMLをサニタイズ [ ] CSPヘッダーを設定 [ ] 検証されていない動的コンテンツのレンダリングなし [ ] Reactの組み込みXSS保護を使用 [ ] 状態変更操作でCSRFトークン [ ] すべてのCookieでSameSite=Strict [ ] ダブルサブミットCookieパターンを実装 [ ] すべてのAPIエンドポイントでレート制限 [ ] 高コスト操作でより厳しい制限 [ ] IPベースのレート制限 [ ] ユーザーベースのレート制限（認証済み） [ ] ログにパスワード、トークン、シークレットなし [ ] ユーザー向けの一般的なエラーメッセージ [ ] 詳細なエラーはサーバーログのみ [ ] ユーザーにスタックトレースを露出しない [ ] ウォレット署名を検証 [ ] トランザクション詳細を検証 [ ] トランザクション前の残高チェック [ ] ブラインドトランザクション署名なし [ ] 依存関係が最新 [ ] 既知の脆弱性なし（npm auditクリーン） [ ] ロックファイルをコミット [ ] GitHubでDependabotを有効化 [ ] 定期的なセキュリティ更新 すべての本番デ

这里只展示节选，请以完整原文和当前要求为准。