Claude Codeには、コード内の脆弱性を特定して修正するのに役立つ自動セキュリティレビュー機能が含まれています。このガイドでは、/security-reviewコマンドとGitHub Actionsを使用してコードセキュリティを向上させる方法について説明します。
注:自動セキュリティレビューは多くの一般的な脆弱性を特定するのに役立ちますが、既存のセキュリティプラクティスと手動コードレビューを補完するものであり、置き換えるものではありません。
概要
Claude Codeの自動セキュリティレビューは、開発者が脆弱性を本番環境に到達する前に検出するのに役立ちます。これらの機能は、SQLインジェクションリスク、クロスサイトスクリプティング(XSS)脆弱性、認証の欠陥、不安全なデータ処理、依存関係の脆弱性など、一般的なセキュリティ問題をチェックします。
セキュリティレビューは2つの方法で使用できます。Claude Codeセッション内でオンデマンドチェック用の/security-reviewコマンドを使用するか、プルリクエストの自動レビュー用にGitHub Actionsを使用します。
利用可能性
これらの機能は、以下を含むすべてのClaude Codeユーザーが利用できます。
個別の有料プラン(ProまたはMax)のユーザー。
従量課金制APIコンソールアカウントを持つ個別ユーザーまたはエンタープライズ。
/security-reviewコマンドを使用する
/security-reviewコマンドを使用すると、コードをコミットする前にClaude Code内から直接セキュリティ分析を実行できます。
セキュリティレビューを実行する
コードの脆弱性をチェックするには:
プロジェクト内でClaude Codeセッションを開きます。Claude DesktopのCode タブで、またはターミナルでプロジェクトディレクトリで
claudeを実行して開きます。/security-reviewを実行します。Claudeはコードベースを分析し、潜在的なセキュリティ上の懸念を特定します。
見つかった各問題について、提供された詳細な説明を確認します。
修正を実装する
Claudeが脆弱性を特定した後、修正を直接実装するよう依頼できます。これにより、セキュリティレビューが開発ワークフローに統合され、問題が最も解決しやすい時点で対処できます。
コマンドをカスタマイズする
/security-reviewコマンドを特定のニーズに合わせてカスタマイズできます。設定オプションについては、セキュリティレビュードキュメントを参照してください。
自動PRレビュー用にGitHub Actionsを設定する
GitHub Actionをインストールして設定した後、プルリクエストが開かれたときに、セキュリティ脆弱性について自動的にレビューします。
インストール
リポジトリの自動セキュリティレビューを設定するには:
リポジトリのGitHub Actions設定に移動します
ドキュメント内のステップバイステップインストールガイドに従います
チームのセキュリティ要件に応じてアクションを設定します
仕組み
設定後、GitHub Actionは:
新しいプルリクエストが開かれたときに自動的にトリガーされます。
セキュリティ脆弱性についてコード変更をレビューします。
カスタマイズ可能なフィルタリングルールを適用して、誤検知を減らします。
特定された懸念事項と推奨される修正をPRにインラインコメントとして投稿します。
これにより、チーム全体で一貫したセキュリティレビュープロセスが作成され、マージ前にコードが脆弱性についてチェックされることが保証されます。
カスタマイズオプション
GitHub Actionをカスタマイズして、チームのセキュリティポリシーに合わせることができます。コードベースの特定のルールを設定し、異なる脆弱性タイプの感度レベルを調整できます。
どのようなセキュリティ問題が検出できますか?
/security-reviewコマンドとGitHub Actionの両方が、一般的な脆弱性パターンをチェックします:
SQLインジェクションリスク:潜在的なデータベースクエリの脆弱性を特定します。
クロスサイトスクリプティング(XSS):クライアント側のスクリプトインジェクション脆弱性を検出します。
認証と認可の欠陥:アクセス制御の問題を見つけます。
不安全なデータ処理:データ検証とサニタイゼーションの問題を特定します。
依存関係の脆弱性:サードパーティパッケージの既知の問題をチェックします。
始める
自動セキュリティレビューの使用を開始するには:
/security-reviewコマンドの場合:Claude Codeを最新バージョンに更新し(実行)、プロジェクトディレクトリで/security-reviewを実行します。Claude Codeは最新の機能とセキュリティ修正を確保するために自動的に自身を更新しますが、
claude updateを実行して手動で更新することもできます。
GitHub Actionsの場合:インストールと設定の手順については、ドキュメントを参照してください。
ベストプラクティス
最適な結果を得るために、重大な変更をコミットする前に/security-reviewを実行し、本番コードを含むすべてのリポジトリに対してGitHub Actionを設定することをお勧めします。チームの特定のセキュリティ要件とコードベースの特性に基づいてフィルタリングルールを調整することを検討してください。