CI/CDにセキュリティチェックを組み込もう

# .github/workflows/security.yml
name: Security Check

on:
  push:
    branches: [main]
  pull_request:
    branches: [main]

jobs:
  # 1. 依存パッケージの脆弱性チェック
  audit:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Setup Node.js
        uses: actions/setup-node@v4
        with:
          node-version: '20'

      - name: Install dependencies
        run: npm ci

      - name: Run npm audit
        run: npm audit --omit=dev --audit-level=high
        # high以上の脆弱性があればCIを失敗させる

  # 2. ESLint セキュリティチェック
  lint-security:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Setup Node.js
        uses: actions/setup-node@v4
        with:
          node-version: '20'

      - name: Install dependencies
        run: npm ci

      - name: Run ESLint security rules
        run: npx eslint src/ --config .eslintrc.security.js

  # 3. シークレットスキャン
  secrets:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0  # 全履歴を取得

      - name: Detect secrets
        uses: trufflesecurity/trufflehog@main
        with:
          extra_args: --only-verified

# Husky のインストール
npm install --save-dev husky lint-staged
npx husky init

// package.json
{
  "lint-staged": {
    "*.{ts,js}": [
      "eslint --config .eslintrc.security.js"
    ]
  }
}

# .husky/pre-commit
npx lint-staged
npm audit --omit=dev --audit-level=critical

# .husky/pre-commit に追加
# .env ファイルのコミットを防止
if git diff --cached --name-only | grep -qE '\.env'; then
  echo "ERROR: .env ファイルをコミットしようとしています！"
  echo "git reset HEAD .env でステージングから除外してください"
  exit 1
fi

# Docker で実行
docker run -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest \
  git file:///pwd --only-verified

# 出力例
Found verified result
Detector Type: AWS
Raw: AKIAIOSFODNN7EXAMPLE
File: src/config.ts
Line: 15
Commit: a1b2c3d4

# 推奨するCI/CDセキュリティパイプライン

開発時（ローカル）:
  └── Pre-commit hook
      ├── ESLint security rules
      ├── .env コミット防止
      └── npm audit (critical)

PR作成時（CI）:
  ├── npm audit (high+)
  ├── ESLint security check
  ├── CodeQL analysis
  ├── Secret scanning
  └── Dependency review

マージ後（CD）:
  ├── DAST (ZAP baseline)
  └── Container scan (Docker image)

定期実行（Schedule）:
  ├── npm audit (weekly)
  ├── DAST full scan (weekly)
  └── Dependency update (Dependabot)

# 毎週月曜日にフルセキュリティスキャンを実行
on:
  schedule:
    - cron: '0 9 * * 1'  # 毎週月曜 9:00 UTC

jobs:
  full-security-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - run: npm ci
      - run: npm audit
      - name: OWASP ZAP Full Scan
        uses: zaproxy/action-full-scan@v0.10.0
        with:
          target: 'https://staging.example.com'