Use this skill whenever user-controlled input flows into a MongoDB query, filter, or update. Trigger words: NoSQL Injection, ユーザー入力, req.body, クエリに渡す, find, filter, spread, $where, 検索条件, security review.
インストールする前に、エージェントに与えられる指示の中身を確認できます。
$gt $where 等)を含むオブジェクトを入力から受け取らない。sanitizeFilter 相当の方針で $/. を含むキーを拒否する。find({ ...req.body }) のような spread 禁止(任意の演算子を注入される)。$where に文字列を渡さない(任意 JS 実行)。string()/number() 等に強制してから比較に使う。import { z } from 'zod';
// ❌ 危険:{ email: { $ne: null } } を送られると全件一致
async function badLogin(body: unknown) {
return UserModel.findOne({ ...(body as object) });
}
// ✅ 安全:型強制 + フィールド固定
const Login = z.object({ email: z.string().email(), password: z.string().min(1) });
async function login(body: unknown) {
const { email } = Login.parse(body); // string に確定
return UserModel.findOne({ email }); // 演算子注入の余地なし
}
req.query をそのままフィルタに展開する。まだレビューはありません。使ってみた感想をお寄せください。
概要と使いどころ
Use this skill when creating or reviewing Next.js Route Handlers (app/api), adding rate limiting, input validation, or auth to API endpoints. Trigger words: API ルート, Route Handler, app/api, エンドポイント, レート制限, 入力検証, CORS, ヘッダー, 認証付き API, hardening.
Use this skill when implementing full-text search, autocomplete, or vector/semantic search and RAG with MongoDB Atlas. Trigger words: 全文検索, あいまい検索, オートコンプリート, ベクトル検索, セマンティック検索, 類似検索, Atlas Search, $search, $vectorSearch, RAG, embedding.
Use this skill when implementing sign-in, sessions, authorization checks, or protecting routes and Server Actions. Trigger words: 認証, ログイン, サインイン, セッション, 認可, 権限チェック, Better Auth, Auth.js, 保護, ミドルウェア, getSession.
Use this skill when starting a new session, opening this project for the first time, or when you need to recall the project's tech stack, hard rules, and which other skills exist. Trigger words: セッション開始, このプロジェクト, 全体像, どのスキル, 何から, getting started, overview.
Use this skill when setting up or modifying CI pipelines, GitHub Actions workflows, or automated checks (lint, typecheck, test, build) for this project. Trigger words: CI, GitHub Actions, ワークフロー, パイプライン, 自動テスト, lint チェック, typecheck, ビルド検証, .github/workflows.
Use this skill when writing end-to-end tests, browser automation, or verifying user flows in a real browser. Trigger words: E2E, Playwright, ブラウザテスト, ユーザーフロー, 結合テスト, シナリオテスト, ログインテスト, getByRole, expect.