タグ
#Security
Securityに関する記事を公開しています。
GitHub Actions の lockfile は composite action の中の action まで記録する
uses を SHA で固定しても composite action が中でタグで呼ぶ action は固定されず、GitHub Actions の lockfile はそれも記録します。そうした action が無ければ、記録されるのは SHA で固定したのと同じコミットです。
pnpm 12.11 のスキル承認は一度許すと更新で危ない指示も素通りする
pnpm 12.11 から、依存パッケージに入っているスキルを承認した物だけ繋ぐようになりました。承認したあとにバージョンを上げて、増えたスキルを Claude Code が読むかを試しました。普通の承認だと更新はそのまま通り、バージョンつきで書くと承認待ちに戻ります。
小さなアプリで Cloudflare の監査スキルを手順どおり回すと /security-review の 30倍の費用
Cloudflare の security-audit-skill を約 170行の Workers のアプリで /security-review と同じモデルで比べました。主な脆弱性は両方が毎回挙げ、手順どおりに回すと費用は約 30倍、素のままなら約 4倍でした。