security-reviewer SKILL.md skillA
security-reviewer from ncaq/konoka is an agent skill: a SKILL.md folder an AI agent loads when a task calls for it.
mdr add ncaq/konoka/security-reviewer@git:20260801.edf4d79Pins git:20260801.edf4d79 in mdr.lock. Pin the fingerprint instead.
- Audit grade
- A, 17 of 17 checks passed
- Kind
- SKILL.md skill
- Repository
- ncaq/konoka
- Path
plugins/kyosei/skills/security-reviewer/SKILL.md- Versions recorded
- 4
- Latest version
- git:20260801.edf4d79, committed Aug 1, 2026
- First version recorded
- Jul 23, 2026
- Size
- 5,635 bytes
- Repository stars
- 3
- License
- Apache-2.0
Use when you need to review code for security vulnerabilities, input validation issues, or authentication/authorization flaws. Examples: - After implementing authentication logic - When adding user input handling - After writing API endpoints that process external data - When integrating third-party libraries The skill should be invoked proactively after completing security-sensitive code sections like login systems, data validation layers, or permission checks.
Collected from public GitHub. Every version is saved exactly as it was and never changes. Install it at an exact version with the mdr tool, and every file is checked before it reaches your agent. The main file is checked against the SHA-256 fingerprint recorded here, and the others against the fingerprints GitHub keeps for its source commit. The automatic checks below grade the latest version, and the same checks always give the same file the same grade.
What the file says
あなたはアプリケーションセキュリティ、 脅威モデリング、 セキュアコーディングの実践に深い専門知識を持つ、 セキュリティコードレビューの専門家です。 # レビュー対象 以下はkyoseiスキル本体がget-review-infoで取得した、 レビュー対象ファイルへの絶対パスを持つJSONです。 JSONに含まれるファイルを`Read`ツールで直接読んでレビューしてください。 特に`patch`はレビュー対象の差分です。 $ARGUMENTS # レビューするときの注意 コードをレビューする際は、 以下の観点で評価してください: ## セキュリティ脆弱性の評価 - OWASP Top 10の脆弱性を体系的にスキャンする - インジェクション - 認証の不備 - 機密データの露出 - XXE - アクセス制御の不備 - セキュリティ設定のミス - XSS - 安全でないデシリアライゼーション - 既知の脆弱性を持つコンポーネントの使用 - 不十分なロギング - インジェクション脆弱性を特定する(SQL、NoSQL、コマンド、テンプレートなど) - ユーザー向け出力におけるクロスサイトスクリプティング(XSS)の脆弱性を確認する - クロスサイトリクエストフォージェリ(CSRF)の保護の不備を調査する - 暗号化実装における弱いアルゴリズムや不適切な鍵管理を調査する - レースコンディションとTOCTOU(Time-of-check-time-of-use)の脆弱性を特定する ## 入力バリデーションとサニタイゼーション - 全てのユーザー入力が期待される形式と範囲に対して適切にバリデーションされているか確認する - 入力サニタイゼーションが信頼境界の適切な位置で行われていることを確認する - ユーザーデータを出力する際の適切なエンコーディングを確認する - ファイルアップロードに適切な型チェック、サイズ制限、コンテンツ検証があるか検証する - APIパラメータの型、形式、ビジネスロジック制約のバリデーションを確認する - ファイル操作におけるパストラバーサルの脆弱性を確認する ## 認証と認可のレビュー - 認証メカニズムがセキュアで業界標準のアプローチを使用しているか確認する - セッション管理が適切か確認する - セキュアなトークン/Cookie - 適切なタイムアウト - セッション無効化 - パスワードが適切なハッシュアルゴリズムで保護されているか確認する - 保護されたリソースへの全てのアクセスで認可チェックが行われているか検証する - 権限昇格の可能性を確認する - 安全でない直接オブジェクト参照(IDOR)を確認する …
Read the whole file at its exact version.
How to install
mdr add ncaq/konoka/security-reviewer@sha256:a867415602404991The line at the top of this page pins the label git:20260801.edf4d79, which is what most people want. This one pins the sha256 fingerprint of the contents instead, so it survives a label being moved. Either way the exact version is written to mdr.lock, and mdr install downloads and checks those contents again, so it installs them exactly or stops with an error.
[](https://markdownregistry.com/a/art_tcib2a5s7ue6ut4z)
3 badge image fetches in 30 days. What the badge shows.
Versions
The registry has recorded 4 versions of this file, between Jul 23, 2026 and Aug 1, 2026, about one every 3 days.
| version | committed | commit | size | audit | |
|---|---|---|---|---|---|
| git:20260801.edf4d79 latest | 2026-08-01 | edf4d79 | 5,635 B | A | view · diff |
| git:20260801.b8aebce | 2026-08-01 | b8aebce | 5,618 B | A | view · diff |
| git:20260728.44842e4 | 2026-07-28 | 44842e4 | 5,426 B | A | view · diff |
| git:20260723.1bc38fc | 2026-07-23 | 1bc38fc | 5,424 B | A | view |
Audit of the latest version
- pass: Frontmatter block present
- pass: Frontmatter declares a name
- pass: Frontmatter declares a description
- pass: Size between 200 bytes and 200 KB (5635 bytes)
- pass: No zero-width or bidi control characters
- pass: No instruction hidden inside an HTML comment
- pass: No link to an exfiltration or paste host
- pass: No credential-shaped string
- pass: No instruction to send local credentials anywhere
- pass: No text hidden with inline styles
- pass: No prompt-injection phrasing
- pass: No curl or wget piped into a shell
- pass: No recursive delete of root, home or parent
- pass: No instruction to read or print local credentials
- pass: No base64 blob over 200 characters
- pass: No link to a raw IP address
- pass: No script tag
Source
ncaq/konoka · 3 stars · license Apache-2.0 · pushed 2026-10-19 · branch master
API
GET https://markdownregistry.com/api/v1/artifacts/art_tcib2a5s7ue6ut4z GET https://markdownregistry.com/api/v1/resolve?ref=ncaq/konoka/security-reviewer GET https://markdownregistry.com/api/v1/blob/a86741560240499168eda7f14e8e0648ba7da607bb334ba3bd9e3f4459d645a4
Your AI assistant does the legwork. You hear about the deals worth your word. Hand yours the standing instructions at modelranch.com and it joins the network that reads files like this one.
Guides: the SKILL.md format and its required fields · what to check before you install a skill · how to pin a skill to an exact version · where to find agent skills · keeping a team on the same skills · which agent file does what.