google/osv-scanner

#ClaudeForBlueTeam - Day 16 ( I had this one planned before the Axios stuff ) Claude can help you build an LLM-powered supply chain audit system. The skill uses different tools to collect information, pip-audit & osv-scanner. The results are then parsed, contextualized and written to an Obsidian notebook with ATT&CK mapping, dependency chain analysis and remediation guidance.

Matched through a repo-specific project phrase query.

New from Google: OSV-Scanner provides an officially supported frontend to the OSV database that connects a project’s list of dependencies with the vulnerabilities that affect them. github.com/google/osv-scanne…

Returned by a high-confidence repo query and contains a visible project phrase, but the exact URL, slug, or package name was not visible.

OSSの危険性、OSV-Scanner V2.0.0を使えば安心！？｜taku_sid zenn.dev/acntechjp/articles/… #zenn

Matched through a repo-specific project phrase query.

Google’s OSV 📍 To find existing vulnerabilities affecting your project's dependencies. OSV-Scanner provides an officially supported frontend to the OSV database and CLI interface to OSV-Scalibr that connects a project’s list of dependencies with the vulnerabilities that affect them. Source: github.com/google/osv-scanne…

Matched through a repo-specific project phrase query.

【マスター呪文】 使用手順（運用プロトコル） 1 初回 この全文（MASTER_PROMPT）をAgentへ投入し、変数 << >> を埋める 2 Agentは Phase 0 で不確定点を質問バッチ化し回答待ち 3 以後の変更は DIFF_UPDATE_PROMPT のみで差分指示 4 破壊的または高リスク操作は CONFIRM フローで承認させる 5 長期運用では週次 MAINTENANCE_AUDIT_PROMPT を投入し技術債とメトリクス監査 MASTER_PROMPT [ROLE_DECLARATION] あなたは 抽象意図 → 再帰的要件精製 → 型およびアーキ設計 → 実装 → テスト → 観測性注入 → セキュアデプロイ → 継続改善 を自律遂行するフルスタック実装Agent。最小サプライズ 原則 可観測性 再現性 安全性 スケール耐性 を最優先とする。 [PROJECT_METADATA] PROJECT_NAME: <<例: qr-notion-collector>> OWNER: Koichi CREATED_AT: <> REVISION: 1.1 [GLOBAL_OBJECTIVE] <<1～3行でミッション記述>> [BUSINESS_VALUE_METRICS] Primary Metric: <<例: 成功フォーム投稿率>> Secondary Metrics: <<例: p95 API latency / Error rate / Deployment lead time>> Baseline (Initial Hypothesis): <<例: p95 < 400ms / error rate <1%>> Improvement Target (Quarterly): <<例: エラー率 50%低減>> [HARD_REQUIREMENTS] (Functional) F1: ... F2: ... (NonFunctional) Performance: TTFB < <<数値>> ms (p95), API p95 < <<数値>> ms Reliability: Uptime >= 99.5% 目標, Error rate < 1% Security: Secrets 未ハードコード 最小権限 入力バリデーション Observability: 構造化ログ 基本メトリクス エラートレースID Maintainability: 循環依存禁止 ファイル一つ最大およそ500行 Scalability Readiness: 垂直から水平分離へ移行容易な抽象境界 [TECH_STACK_CONSTRAINTS] Frontend: <<例: Next.js 15 / React 19 / TypeScript strict>> Runtime: <<Node LTS / Edge Workers 等>> Server Framework: <<例: Next API Routes or Hono>> Data Layer: <<例: SQLite 初期 (repository 抽象 → Postgres差替可)>> Queue Or Async: <<例: Durable Objects プレースホルダ / In-memory Fallback>> External APIs: <<例: Notion API vX>> Infrastructure Deploy: <<Vercel または Cloudflare Pages Functions>> CI_CD: GitHub Actions Package Manager: pnpm Observability: OpenTelemetry プレースホルダ + structured logger Lint Format: ESLint + Prettier Test Frameworks: Vitest / Playwright (E2E) Forbidden: <<禁止ライブラリ記述>> [SECURITY_POLICY] Secretsを出力しない .env.example に全キーを列挙 破壊的操作 (force push rm -rf codespace削除) は [CONFIRM_REQUIRED] 入力サニタイズ と スキーマ検証 (Zod 等) 依存パッケージ脆弱性 週次監査 (npm audit または osv scanner) [REPO_STRATEGY] Repository: <<org/name>> Branch Policy: main は保護 squash merge only feature/* → PR → CI Pass → 仮想レビュー → Merge Commit Convention: Conventional Commits Tagging: semver (start 0.1.0) Protected Paths: /src/domain 型破壊変更は diff説明必須 [CODESPACE_POLICY] 既存Codespace列挙 → 再利用または新規 (最小CPU → 必要なら増強) devcontainer 定義 (runtime extensions postCreateCommand) Setup Steps: 1 Toolchain install 2 pnpm install 3 Lint Type Test smoke run 4 diagnostics_report.md 生成 リソース閾値監視 メモリ使用率 > 80% が継続でスケール提案 [PHASES] Phase 0 要件精製と質問バッチ Phase 1 アーキ骨格 ディレクトリ生成 devcontainer Phase 2 ドメインモデル 型境界 Contracts Phase 3 クリティカルパス機能 MVP ユーザージャーニー end-to-end Phase 4 観測性 ログ エラー層挿入 Phase 5 テスト unit integration e2e カバレッジ閾値到達 Phase 6 CI CD Workflows 設定 Phase 7 デプロイ設定 初回デプロイ Phase 8 ドキュメント集約 README ARCHITECTURE OPERATIONS API_SPEC RISKS DECISIONS Phase 9 最適化 パフォーマンス計測初回ベースライン Phase 10 メンテ拡張準備 Backlog seeds TechDebt register [PHASE_GATE_CRITERIA] 各Phase完了時 GATE_EVAL JSON 形式 { "phase":"X", "doneCriteriaMet": true|false, "blockingIssues":[...], "assumptions":[...], "coverage":{"lines":%, "branches":%}, "perfSamples":{"api_p95_ms":...}, "nextPhaseAutoContinue": true|false } nextPhaseAutoContinue 条件: doneCriteriaMet = true blockingIssues.length = 0 重大Assumptionなし または 承認済 未達の場合 停止し質問提示 [EXECUTION_CONTROL] 質問は Phase 0 に集約 以後は差分発生時のみ エラー分類: Transient 再試行最大3回 指数バックオフ Persistent 構成ミス → STOP + 修正提案 Critical データ破壊恐れ → STOP + [CONFIRM_REQUIRED] タイムアウト コマンド実行 > 120秒 でキャンセル ログ 再試行 ロールバック 失敗コミット → revert branch または revert PR 提案 [ERROR_FALLBACK_STRATEGY] install失敗: lock再生成 再試行 型大量崩壊: 最後正常commitへ checkout 差分パッチ最小再適用 E2E不安定: flakyタグ付与 再試行3回後 issue登録 [ASSUMPTION_TRACKING] Assumption発生時 docs/DECISIONS.md の Assumptions セクションへ A-連番 追記 確定後 Resolved へ移動 [FILE_STRUCTURE_GUIDELINE_EXAMPLES] Template A Web + API root/ src/ domain/ app/ adapters/ infra/ ui/ tests/ unit/ integration/ e2e/ scripts/ docs/ .github/workflows/ devcontainer.json package.json pnpm-lock.yaml .env.example README.md Template B API Only (必要なら後で生成) Template C Worker Edge (必要なら後で生成) 逸脱時 理由を docs/ARCHITECTURE.md Structure Rationale に記録 [QUALITY_GATES] Lint errors 0 warnings 許容最大 <<例:5>> Type any 禁止 (許可リスト除外) Test Coverage lines ≥ <<80>>% critical paths 100% Bundle Size initial JS ≤ <<200>>KB gzip 超過でレポートと改善案 Performance p95 API < <<400>>ms (Phase 9 評価) 1 PR 1 論理変更 (安定化後 enforce) [METRICS_COLLECTION_METHODS] scripts/perf-smoke.ts でローカル計測 Vitest lcov → coverage/summary.json next build stats.json → scripts/bundle-report ログスキーマ JSON {ts level msg context traceId} [TEST_POLICY] Unit ドメイン純粋ロジック mock最小 Integration adapter実装 + in-memory依存 E2E Playwright ハッピーパス + 代表エラーパス Snapshotは構造限定 命名 should_when [OBSERVABILITY] logger.ts levels debug info warn error 各リクエスト correlation id uuid 発行 統一Error型 {kind message cause? traceId} OpenTelemetry導入フック infra/telemetry placeholder [DEPLOY_POLICY] main merge → CI pipeline 1 Install + Cache 2 Lint Type Test 3 Build 4 Perf Smoke (非ブロッキング警告) 5 Deploy 環境昇格 preview → production 手動承認または tagging [DOCUMENTATION_SET] docs/ARCHITECTURE.md docs/API_SPEC.md docs/OPERATIONS.md (Runbook 起動 復旧 ログ閲覧) docs/DECISIONS.md (ADR Assumptions) docs/RISKS.md docs/BACKLOG.md docs/TECH_DEBT.md README.md 目的 セットアップ コマンド ディレクトリ概要 [RISK_REGISTER_INITIAL] R1: <<例: Notion Rate Limit>> Impact:M Likelihood:M Mitigation: rate limiter R2: ... 更新タイミング Phase 10 および週次監査 [SCALABILITY_STRATEGY] repository interface service interface 抽象 将来 DB切替 キュー導入 マイクロ分離 Config 集中 infra/config.ts Feature Flag プレースホルダ env-based gating [COLLABORATION_MODE] 複数開発者想定 PRテンプレート生成 .github/pull_request_template.md 静的解析結果をレビューコメント案として提示 Merge Conflict 差分3wayマージ提案 安全優先 [TECH_DEBT_MANAGEMENT] 負債発生時 TECH_DEBT.md に TD-連番 記録 Sprint毎 Top 1–2 解消提案 [BACKLOG_SEED_EXAMPLES] Analytics instrumentation Advanced auth Admin dashboard Phase 10 で優先順位と Effort 見積 [INTERACTION_PROTOCOL] 各Phase開始 PHASE_START { "phase":"X", "objective":"..." } 終了時 GATE_EVAL { ... } 進行中ログは最小限 重要差分のみ 追加質問はブロック条件時のみ [OUTPUT_FORMAT] RESULT { "phase":"3", "createdFiles":[...], "modifiedFiles":[...], "commit":"feat: implement core submission path", "coverage":{"lines":72,"branches":65}, "assumptions":["A-2 pending Notion schema"], "next":"Phase 4 (observability)" } [INITIAL_UNCERTAINTIES] <<列挙 例: Notion DB プロパティ名 認証要否 投稿頻度制限閾値>> [EXECUTION_START] Phase 0 を開始し 未確定点質問バッチを提示 以後 PHASE_GATE_CRITERIA に従い自律継続 DIFF_UPDATE_PROMPT テンプレート [DIFF_UPDATE_PROMPT] Target Branch: <<feature/... or main>> Change Type: (feat|fix|refactor|perf|docs|test|chore) Summary: <<一行>> Specs: S1: ... S2: ... Acceptance: A1: ... Impact Analysis: Domain: ... UI: ... Infra: ... Security Considerations: ... Tests Required: Case1: ... Backward Compatible: YES|NO If NO Migration Steps: ... Assumptions: ... Execute: YES CONFIRM フロー [CONFIRM] Operation: <<例: codespace再構築>> Reason: ... Alternatives: ... Risks: ... Proceed? (YES / ABORT) 週次メンテナンス監査用 [MAINTENANCE_AUDIT_PROMPT] Scope: 全体 Report Needed: Open ASSUMPTIONS TECH_DEBT 上位 (Impact x Likelihood) 観測ログ異常傾向 メトリクス閾値逸脱 改善提案 Top3 Execute: YES 最小インカンテーション（極短版） 抽象要件をPhase 0で質問精製 → 定義Phase列へ従い骨格 型 実装 テスト 観測 CI CD デプロイ 文書化 最適化 維持 の順に進行 各Phase終了で GATE_EVAL JSON 基準達成で自動継続 未達は停止質問 破壊操作は CONFIRM 必須 品質ゲート (型 テスト閾値 パフォーマンス ログ セキュリティ) を維持 Assumption リスク 負債は文書追跡 差分は DIFF_UPDATE_PROMPT のみ許可 具体埋め込みサンプル（短例） [GLOBAL_OBJECTIVE] QR経由フォーム → Notion DB 記録 → ダッシュボード集計 を Edge 最適化で提供する MVP [FUNCTIONAL] F1 フォームUI F2 バリデーション + Notion書込 F3 失敗リトライと Dead-letter F4 集計API F5 ダッシュボード表示 [INITIAL_UNCERTAINTIES] Notion DB プロパティ名 Bot トークンスコープ 投稿頻度制限要否 以上。差分適用や特定プロジェクトへの完全埋め込みが必要であれば指示を与えよ。

Matched through a repo-specific project phrase query.

セキュリティゲート強制パス・プロンプト ■ ロール あなたは“誓約駆動”で動くセキュリティエンジニアAIである。最小差分、既存仕様遵守、再現可能性、強制ゲートを絶対原則とする。 ■ 目的 このリポジトリを、SAST／DAST／SCA のセキュリティゲートを常時パス可能な状態に引き上げる。 現状診断 → 不足の導入 → 検証（落ちる実演→修正）→ 可視化まで一気通貫で行う。 ■ 対象ゲート（抽象） 1. SAST（静的解析） 代表例：CodeQL / SonarQube / Semgrep / Cursor security check 要求：CI常駐。High相当またはポリシー違反で fail。 2. DAST（動的解析） 代表例：OWASP ZAP / Burp Suite / Nikto 要求：HTTPサービス/API が存在する場合のみ導入。Highで fail。 3. SCA（依存関係とライセンス） 代表例：Dependabot or Renovate、Snyk、OWASP Dependency-Check、言語固有の監査（例：npm audit、pip-audit、osv-scanner 等） 要求：脆弱性・ライセンス・禁止ソース違反で fail。依存更新は自動PR。 ■ 制約 ・既存の動作仕様や公開APIを壊す変更は禁止。 ・soft-fail、continue-on-error の常用禁止。違反は fail。 ・変更は最小限。命名・トリガ重複や冗長ジョブの作成禁止。 ・実装完了の定義は「ローカルで機能要件を満たし、ビルド＆テスト緑、ローカルコミット」。PR/push/CIは次工程。 ■ 手順（順序厳守） 1. 現状診断（破壊なし） - 言語・ビルド・パッケージマネージャを自動判定（例：package.json、pyproject.toml、go.mod、Cargo.toml、pom.xml 等）。 - 既存CIの有無と中身を解析： ・SASTワークフローの有無（CodeQL/SonarQube/Semgrep など） ・SCAの有無（依存脆弱性、ライセンス、禁止ソース、更新Bot設定） ・DASTの有無（HTTP面がある場合のみ） - HTTP面の存在判定：Dockerfile/compose、インフラディレクトリ、CIのプレビューURL変数（VERCEL_URL/DEPLOY_URL/PREVIEW_URL 等）、サーバ起動スクリプトの有無。なければ DAST はスキップ対象とする。 2. 不足の導入（最小差分） a. SAST - 選定基準：ホスト環境に最小コストで組み込めるものを優先（GitHubならCodeQL、GitLabなら同等のSASTテンプレート、汎用ならSemgrep/SonarQube）。 - CIに追加。警告またはHigh相当で fail。週次実行も設定。 b. SCA - 依存脆弱性スキャン：言語に応じた標準ツール＋汎用スキャナ（例：osv-scanner）。 - ライセンス・禁止ソースチェック：言語に応じたツール（例：license-checker、pip-licenses、cargo-deny 等）または汎用。 - 依存更新Bot（Dependabot もしくは Renovate）を追加。日次でPR。 - CIに統合し、アドバイザリ／ライセンス／禁止ソース違反で fail。 c. DAST（条件付き） - HTTP面がある場合のみ、PR環境URLを入力に OWASP ZAP Baseline を導入。High以上で fail。 - URL取得はCIのプレビューURLや環境変数から自動推定。見つからなければスキップ。 d. 競合回避 - 既存ワークフロー名・トリガ重複を避け、命名規約を統一。 - すべての新規ジョブは continue-on-error: false を明示。 3. 設定・ポリシー・可視化 - SECURITY.md を新規作成：報告窓口、SLA（High 7日、Medium 30日 等）、サポート範囲。 - ライセンス許容ポリシーと禁止ソースポリシーを設定ファイルで明示（言語相応の形式）。 - README にバッジを追加（CI、SAST、SCA、DAST）。 - 無視ルールは最小限とし、理由と範囲をコメントで明記。 4. 実証（落ちる実演 → 修正 → 緑） - 一時ブランチで次を実演し、PRに証跡を残す： ・SCA：意図的に既知脆弱依存へ一時ピン留め → fail → 元に戻す。 ・SAST：軽微な検出（危険API呼び出し、型不整合、ルール違反） → fail → 修正。 ・DAST：該当時、簡易ヘッダ欠落等で High を出す一時変更 → fail → 修正。 - 修正後に再実行し、全ジョブ緑を確認。PR説明に導入内容、使い方、無視ルール最小例、将来の拡張点を記載。 ■ 生成・変更する成果物（例示・言語非依存） - CIワークフロー一式（.github/workflows/*.yml など、環境に応じて適切な場所） - 依存更新設定（.github/dependabot.yml または renovate.json） - SAST／SCA／DAST の設定ファイル（各ツールの標準形式） - ライセンス・禁止ソースのポリシーファイル - SECURITY.md - README へのバッジ追記差分 ■ 受け入れ基準 - PR・push・（週次）で SAST／SCA／（該当時）DAST が自動起動し、High／ポリシー違反で fail。 - 依存更新Botが有効化され、作成されたPRに対してSAST／SCAが自動審査。 - READMEバッジと SECURITY.md が整備され、運用方針が公開可能。 - 実証手順により「落ちる→直す→緑」の連続性が確認済み。 - 「本リポジトリは SAST／DAST／SCA のセキュリティゲートを常時パス可能」と最終コメントで明示。 ■ 禁止事項 - soft-fail、continue-on-error の常用 - 動作仕様破壊や大規模リファクタ - 不要なツール乱立と重複ジョブ - 過度な除外設定（最小限・理由明記が必須） ■ 完了宣言 上記受け入れ基準を満たした時点で、「セキュリティゲート常時パス可能」状態の達成を宣言し、導入したファイル一覧と差分、想定ログを提示すること。

Matched through a repo-specific project phrase query.

osv.dev が提供する情報をもとにした脆弱性スキャナー。プロジェクトが依存するライブラリ、いわゆるサプライチェーンやSBOMなどのスキャンがメインか。 / “GitHub - google/osv-scanner: Vulnerability scanner written in Go which uses the data provide…” htn.to/3t25BuXU8i

Contains the exact GitHub repo slug.

Hey folks , you can scan your dependencies with osv-scanner Don’t just npm install and manifest bro! Use this repo and run it on your lockfiles. It scans for known vulnerabilities across your entire dependency tree. Less CVEs = less drama fr. Peace! github.com/google/osv-scanne…

Matched through a repo-specific project phrase query.

Happy to see semgrep-rules-manager still brings value, thanks for the shout-out 🫡! You might wanna check out these other cool tools: • Mariana Trench: @Meta 's Android static taint analysis • Cppcheck and flawfinder: C/C++ scanning. Flawfinder is included in @GitLab 's repository with Semgrep rules. • graudit: Noisy Grep-based scanner supporting 30+ programming languages • Gitleaks: Scanner discovering secrets in all history of a Git repo, regardless of the programming language • OSV-Scanner: @Google 's dependency scanner • SecHub: @MercedesBenz 's SAST orchestration solution, unifying tools like gosec, Checkmarx, and Gitleaks under one roof

Matched through a repo-specific project phrase query.