テスト・セキュリティのスキル

CSVや表計算ソフトへ渡る入力を調べ、数式として実行される危険な値の検出方法や、安全な出力形式への対策を整理します。

• CSV出力の数式評価を調べたいとき
• 表計算レポートに入力値を含めるとき
• 許可済みテストの結果を記録したいとき

REST APIやGraphQLの調査順を整理し、公開ドキュメント、権限、トークン、隠れた項目など、問題に合う検証分野へ案内します。

• APIのセキュリティ調査順を決めたいとき
• 公開API仕様から調査先を選びたいとき
• 権限・トークン・GraphQLを切り分けたいとき

CTFの暗号文を文字種や頻度から見分け、換字式・ヴィジュネル・転置・XORなどの古典暗号を解く手順を整理するスキルです。

• CTFの未知の暗号文を分類したいとき
• ヴィジュネル暗号の鍵長を推定したいとき
• 換字式暗号を頻度分析したいとき

Content Security Policy（CSP）の設定を調べ、XSSを防ぐポリシーに残る弱点や、許可済みスクリプト・nonce・データ送信経路を使った回避可能性を検証します。

• CSPがXSS検証を妨げるとき
• CSPの設定漏れを調べたいとき
• nonceの再利用や漏えいを確認したいとき

入力値がシェルコマンド実行に届く経路を調べ、画面出力のないケースも含めてコマンドインジェクションを検証するスキルです。

• 入力値を使うコマンド実行を調べたいとき
• 変換やインポート処理を検証したいとき
• 画面に結果が出ない実行を検出したいとき

認証済みAPIへのブラウザー経由のアクセスを調べ、Originの反射や許可リスト、プリフライト設定などCORSの誤設定を検査するスキルです。

• 任意のOriginが許可されるか調べたいとき
• 認証済みAPIの応答漏えいを確認したいとき
• プリフライトや許可リストを点検したいとき

Java・PHP・Pythonなどで外部データを復元する処理を調べ、危険なデシリアライズによるコード実行や情報アクセスにつながる弱点を評価します。

• 外部入力のデシリアライズを点検したいとき
• シリアライズ形式の通信データを調べたいとき
• pickleやYAMLの読み込み処理を確認したいとき

JavaScriptの実行が制限されたHTML注入で、後続ページ内容が漏れる仕組みや成立条件、ブラウザーごとの制約を整理するスキルです。

• JavaScript禁止下のHTML注入を評価したいとき
• 注入箇所より後の情報漏えいを調べたいとき
• CSPによる制約を確認したいとき

メール送信機能の入力欄を調べ、ヘッダーへの改行注入や送信ドメイン認証の設定不備など、メールの偽装や内容改変につながる問題を確認します。

• 問い合わせフォームのメール送信を点検したいとき
• パスワード再設定メールを確認したいとき
• メールAPIの入力処理をレビューしたいとき

APIのBearerトークンやAPIキー、JWTのクレーム、ヘッダー、レート制限を点検し、認証境界の弱さやトークンの信頼設定を評価します。

• APIトークン認証を点検したいとき
• JWTの権限クレームを確認したいとき
• ヘッダーによる制限の強さを調べたいとき

同じ名前のHTTPパラメーターが複数あるとき、WAFやプロキシ、アプリがどの値を採用するかを調べ、検証と処理のずれによる脆弱性を評価するスキルです。

• WAFとアプリの値の解釈差を調べたいとき
• 重複パラメーターの脆弱性を診断
• URL検証と接続先のずれを確認したいとき

glibcのptmalloc2ヒープ脆弱性を解析し、tcacheやfastbinなどの内部構造を踏まえて、情報漏えいや任意書き込みにつながる攻撃手法を検討するスキルです。

• glibcプログラムのUAFを解析したいとき
• glibcの版に応じた攻撃手法を調べたいとき
• tcacheとsafe-linkingの制約を確認したいとき

DeepSeek Harness のプラグイン変更に応じて必要なテスト段階を選び、実APIや実際の起動経路を含めて、変更内容に合った動作確認を組み立てます。

• 変更内容に合うテスト範囲を選びたいとき
• Harnessのバージョン移行を検証したいとき
• 配布パッケージの実際の起動を確認したいとき

実際のDSHプラグイン移行を、Harborで採点できるベンチマーク課題に変換します。旧版の再現環境、指示、判定処理、参考解をまとめ、既存の移行カードも実行可能な課題にできます。

• 実際の移行を採点可能な課題にしたいとき
• バージョンカードを実行試験に変えたいとき
• 旧版の不具合を再現するfixtureを作りたいとき

作業完了の報告を根拠と分けて検証し、差分やテスト結果から、実際に変更が反映されたか、確認漏れや問題がないかを判定します。

• 完了報告の根拠を確かめたいとき
• テスト結果を再確認したいとき
• 差分の範囲や品質を点検したいとき

WordPressプラグインのAbilities API登録を調べ、注釈と実際の処理の食い違い、権限、入力スキーマ、監査文書を検証して構造化レポートにまとめます。

• 公開前に機能登録を点検したいとき
• readonly注釈と書き込み処理を照合したいとき
• 権限や入力スキーマを確認したいとき

caddy-securityの変更内容に合わせて単体・E2EテストやCaddyfileフィクスチャ、CI確認を選び、実行結果と未確認範囲を整理するスキルです。

• 変更に必要なテストを選びたいとき
• Caddyfileフィクスチャを追加したいとき
• CIの失敗をローカルで再現したいとき

Webサイトやアプリの単体・結合・E2E・負荷・セキュリティ・表示・アクセシビリティを検証し、ブラウザー差や不安定なテストも確認するスキルです。

• Web機能のテストを自動化したいとき
• リリース前に負荷や性能を確認したいとき
• 表示崩れやブラウザー差を調べたいとき

作業完了や修正成功を報告する前に、対応する検証コマンドを実行して出力と終了コードを確認し、主張を根拠に結び付けるためのスキルです。

• テスト結果を確認してから報告したいとき
• 修正が直ったか再現テストで確かめたいとき
• コミット前にビルド結果を確認したいとき

BDD Godogを使うE2Eテストの命名、環境タグ、手順の組み立て方を示し、登録済みのテスト動作に沿った実装と検証を助けるスキルです。

• GodogでE2Eテストを書きたいとき
• テスト名や環境タグを統一したいとき
• ログ収集の検証手順を組み立てたいとき

BDD形式のE2Eテストの構成を理解し、featureファイルでシナリオを記述したり、Goのテスト動作関数を追加・登録したりする手順を確認できます。

• E2Eテストの構造を理解したいとき
• feature形式でテストシナリオを書きたいとき
• Goの動作関数を追加・登録したいとき

LoongCollectorのE2Eテストをシナリオ設計から記述、Docker Composeでの実行、失敗時のログ確認まで進める手順を案内します。

• 新しいE2Eテストの観点を設計したいとき
• featureファイルを作成したいとき
• Docker Composeでテストを実行したいとき

LoongCollectorのC++・Goのユニットテスト、BDD形式のE2Eテスト、性能ベンチマークを設計・レビューし、境界条件や実行環境を含む基準に沿って確認するスキルです。

• C++・Goのユニットテストを書くとき
• E2Eテストの構成を確認したいとき
• 性能ベンチマークを追加するとき

コミット前のステージ領域とプッシュ前のコミット履歴を調べ、APIキーやアクセストークンなどの機密情報を見つけて対処につなげるスキルです。

• コミット前に機密情報を確認したいとき
• プッシュ前に履歴のトークンを調べたいとき
• 漏えいした値を含む履歴を整理したいとき