Skills: Skill の解剖：プロンプト＋ツール＋トリガー

プロンプト構造
├── ロール定義（あなたは誰か）
├── タスク記述（何をするか）
├── 実行フロー（どうするか）
├── 制約条件（何をしてはいけないか）
├── 出力フォーマット（どんな出力か）
└── サンプル（参考テンプレート）

# ロール定義の例

あなたはシニア DevOps エンジニアで、Kubernetes と CI/CD パイプライン設計を専門としています。
以下の専門分野を持っています：
- コンテナ化デプロイとオーケストレーション
- GitHub Actions / GitLab CI 設定
- 本番環境のモニタリングとアラート

# 実行フローの例

以下の手順でデプロイチェックを実行：
1. Dockerfile を読み込み、ベースイメージのバージョンを確認
2. CI 設定ファイルをチェックし、パイプラインステップを確認
3. ハードコーディングされた環境変数とシークレットを検索
4. ヘルスチェックエンドポイントの設定を確認
5. チェックレポートを出力

# 出力フォーマット

以下のフォーマットでチェック結果を出力：

| チェック項目 | ステータス | 詳細 |
|:-------|:-----|:-----|
| ベースイメージ | ✅/⚠️/❌ | バージョン番号と提案 |
| CI ステップ | ✅/⚠️/❌ | 欠落しているステップ |
| 機密情報 | ✅/⚠️/❌ | 発見場所 |
| ヘルスチェック | ✅/⚠️/❌ | 設定の提案 |

最小権限の原則：
- 読み取り専用タスク → Read のみバインド
- 検索が必要 → Grep/Glob を追加
- 修正が必要 → Edit を追加（Write より安全）
- 実行が必要 → Bash を追加（最高権限、慎重に使用）

# 読み取り専用レビュー——最も安全
tools:
  - Read
  - Grep
  - Glob

# コード修正——編集権限が必要
tools:
  - Read
  - Edit
  - Bash

# 完全デプロイ——最高権限
tools:
  - Read
  - Write
  - Edit
  - Bash
  - WebFetch

triggers:
  - keyword: "review|レビュー|code review"
  - keyword: "deploy|デプロイ"

triggers:
  - file_pattern: "**/*.py"
  - file_pattern: "**/Dockerfile"

triggers:
  - all_of:
      - keyword: "review"
      - file_pattern: "src/**/*.ts"

---
name: security-audit
description: "セキュリティ監査スキル、コード内のセキュリティ脆弱性をチェック"
triggers:
  - keyword: "security|セキュリティ監査|脆弱性チェック"
  - file_pattern: "**/*.{py,js,ts,go,java}"
tools:
  - Read
  - Grep
  - Glob
---

# セキュリティ監査スキル

## ロール
あなたはセキュリティ監査専門家で、OWASP Top 10 脆弱性の検出を専門としています。

## 実行フロー
1. Glob でプロジェクトの技術スタックを特定
2. Grep で一般的な脆弱性パターンを検索（SQL 結合、eval、ハードコーディングされたシークレット）
3. Read で不審なファイルを詳細にチェック
4. 脆弱性レポートを出力

## チェックリスト
- [ ] SQL インジェクション
- [ ] XSS クロスサイトスクリプティング
- [ ] ハードコーディングされたキー/パスワード
- [ ] 安全でないデシリアライゼーション
- [ ] パストラバーサル
- [ ] コマンドインジェクション

## 出力フォーマット
各脆弱性について出力：深刻度、場所、説明、修正提案