42Crunch API Security Audit を実行し、OpenAPI 仕様ファイル内の SQG ブロック（セキュリティ基準の達成を阻む問題）を修正します。 次のような場合に使用: ユーザーが OAS（OpenAPI 仕様）ファイルのセキュリティ問題を監査したい、SQG ブロック問題を修正したい、API のスコア算出をしたい、データ辞書の充実化を適用したい、または監査結果の改善に対応したいとき。「audit を実行」「audit のみ」「audit 問題を修正」「SQG audit」「42crunch audit」「audit スコア」など、実際の動作確認を伴わない OpenAPI 仕様ファイルの静的解析と改善に関する表現がトリガーになります。
Run a 42Crunch API Security Audit and fix SQG-blocking issues in an OpenAPI Specification file. Use this skill whenever the user wants to audit an OAS file for security issues, fix SQG-blocking issues, score an API, apply data dictionary enrichment, or remediate audit findings. Triggers on phrases like "run audit", "audit only", "fix audit issues", "SQG audit", "42crunch audit", "audit score", or any request focused on static OAS analysis and remediation without running a live scan.
単一フェーズを実行: 監査（静的なAPI仕様書分析、セキュリティ品質スコア評価、およびスコア改善ループ）。実行前にユーザーの明示的な許可が必要です。
ライブスキャン（実際のAPI環境に対するテスト）は実行しません。ライブスキャンは 42crunch-scan スキルを使用してください。
事前準備チェック ../../references/pre-flight.md を参照し、すべてのステップ（セットアップ、API仕様書の解決、カテゴリータグ検出）を完了してください。API仕様書ファイルの選択を求める際は、「監査対象を選択: どのファイルを監査しますか？」というコンテキストを使用してください。
いずれかのステップが失敗またはユーザーがキャンセルした場合は進まないでください。
実行許可を取得 AskUserQuestion を呼び出します:
「<ファイル名>の 42Crunch 監査を実行する準備ができました。このスキルはあなたのAPI仕様書を分析し、スコア付きレポートを作成します。進めてよろしいですか？」「はい、進める」「いいえ、キャンセル」監査を実行 モードは事前準備チェック時にすでに判定されているため、改めて判定しないでください。../../references/audit-workflow.md を参照し、識別されたモードのコマンドのみを全体を通じて適用してください。
ワークフローは監査を実行した後、開発者が理解しやすい、リスク分類されたレポート（セキュリティ品質ゲート / セキュリティ / データ検証 / API仕様準拠の各レベル）を提示します。技術ルールIDではなく、わかりやすい日本語のタイトルとリスク説明を使用します。その後一時停止して、修正を適用する前にユーザーの同意を確認します。修正は明示的な確認後のみ適用されます。
最終監査サマリーを提示（以下の出力形式を参照）。
結果に基づいて次のステップを提案:
セキュリティ品質ゲート（品質基準）が満たされた場合:
「監査が完了し、セキュリティ品質基準を満たしています。次のステップは、実際に動作しているAPIに対してライブスキャンを実行し、仕様への準拠と認証設定を検証することです。APIサーバーが利用可能になったら『スキャン実行』と言ってください。」
セキュリティ品質ゲートが満たされていない場合（ユーザーが修正を拒否）:
「監査結果は上に保存されています。品質基準を満たさない問題に対応する準備ができたら、このファイルで
42crunch-auditを実行してください。修正を適用します。監査が完了したら、42crunch-scanを実行してライブAPIをテストしてください。」
問題が見つからなかった場合:
「問題は見つかりません。あなたのAPIは監査結果がクリアです。
42crunch-scanを実行して、実際のAPIが仕様書と一致していることを確認してください。」
各許可プロンプトで、ユーザーの明示的な確認を得た後のみ続行してください。
監査完了後、以下の形式でサマリーを作成してください:
監査完了
スコア: <スコア> / 100 （セキュリティ: <セキュリティスコア> · データ検証: <データスコア>）
スコア変化: <初期スコア> → <スコア> （<変化量>） | データ: <初期データスコア> → <データスコア> （<データ変化量>） ← 修正を適用しなかった場合は省略
品質ゲート: PASSED （<ゲート名> — 組織のセキュリティ品質基準を満たしています） ← プラットフォームモード、合格時
品質ゲート: FAILED （<ゲート名> — 品質基準を満たしていません。上記の修正が必要です） ← プラットフォームモード、不合格時
品質ゲート: 該当なし （トークンモード — 自動的なゲートはありません。このセッションではユーザー定義の基準を適用しました） ← トークンモード
モード: プラットフォーム / トークン
カテゴリー: <カテゴリ>:<タグ名> ← プラットフォームモードのみで、タグが割り当てられている場合。タグなしの場合は省略
修正済み問題: 2件の品質基準違反 （0件のセキュリティ · 2件のデータ検証）
API仕様書更新: <パス/openapi.json>
現在のモードと結果に該当するゲート行のみを表示してください。
スコア変化: 行は ../../references/audit-workflow.md の第4ステップから計算された差分値から作成されます。修正が適用されなかった場合（ユーザーが同意ゲートで拒否、または修正が不要だった場合）は省略してください。
ユーザーが修正の適用を拒否した場合は、その旨を注記してください。
Runs a single phase: Audit (static OAS analysis, SQG reporting, and
SQG-blocking fix loop). Requires explicit user permission before execution.
Does not run a live scan — use the 42crunch-scan skill for that.
Pre-flight checks. Read ../../references/pre-flight.md and complete
all steps (setup, OAS resolution, tag detection). When prompting for OAS
file selection, use the context "audit" (e.g. "Which one should I audit?").
Do not proceed if any step fails or the user cancels.
Ask for permission. Call AskUserQuestion:
"Ready to run a 42Crunch Audit on <filename>. This will analyse your OAS file and produce a scored report. Shall I proceed?"["Yes, proceed", "No, cancel"]Execute the Audit. Mode is already resolved from pre-flight — do not
re-derive it. Read ../../references/audit-workflow.md and apply only the
commands for the identified mode throughout.
The workflow runs the audit, then presents a developer-readable,
risk-classified report (SQG-Blocking / Security / Data Validation / Spec
Conformance tiers) with plain-English titles and risk descriptions — no
raw rule IDs. It then pauses and asks the user to consent before applying
any fixes. Fixes are only applied after explicit confirmation.
Present the final audit summary (see Output Format below).
Recommend next steps based on the outcome:
If SQG PASSED:
"Your audit is complete and the SQG is passing. The natural next step is to run a live scan to test conformance and authorization against a running instance of your API. Just say
run scanwhen your API server is available."
If SQG FAILED (user declined to fix):
"Your audit findings are saved above. When you're ready to address the SQG-blocking issues, run
42crunch-auditagain on this file and I'll apply the fixes. Once the audit passes, run42crunch-scanto test the live API."
If no issues found:
"No issues found — your API has a clean audit result. Run
42crunch-scanto verify the live API matches its contract."
Only continue after explicit user confirmation at each permission prompt.
After the audit completes, produce a summary in this shape:
Audit Complete
Score: <score> / 100 (Security: <sec-score> · Data Validation: <data-score>)
Score change: <initial-score> → <score> (<delta>) | Data: <initial-data> → <data-score> (<data-delta>) ← omit if no fixes applied
SQG: PASSED (<sqg-name> — your org's security quality gate is met) ← platform mode, passed
SQG: FAILED (<sqg-name> — the quality gate is not met; fixes above are required) ← platform mode, failed
SQG: N/A (Token mode — no automated gate; user-defined thresholds applied this session) ← token mode
Mode: Platform / Token
Tag: <category>:<tagname> ← platform mode only, when a tag is assigned; omit this row if no tag
Issues fixed: 2 SQG-blocking (0 security · 2 data validation)
OAS updated: <path/to/openapi.json>
Show only the one SQG line that matches the current mode and result.
The Score change: row is produced from the delta values computed in Step 4 of
../../references/audit-workflow.md. Omit it when no fixes were applied (user
declined at the consent gate, or there were no SQG-blocking issues).
If the user declined to apply fixes, note that instead.
原文・著作権は Anthropic および各プラグイン作者に帰属します。日本語訳は Claude API による自動翻訳です。