# Security Policy

## 適用対象
全エージェント（特にWorker、Security Reviewer）

## ルール
1. ハードコードされた機密情報（APIキー、パスワード、トークン）を含めない
2. ユーザー入力を必ず検証・サニタイズする
3. SQLインジェクション対策（パラメータ化クエリ）を必須とする
4. XSS対策（HTMLサニタイズ）を必須とする
5. CSRF対策（トークン検証）を必須とする
6. 認証・認可を全てのエンドポイントで確認する
7. レート制限を全てのエンドポイントに設定する
8. エラーメッセージに機密情報を含めない
9. OWASP Top 10に該当する脆弱性を許容しない
10. 機密情報は環境変数またはシークレット管理ツールで管理する

## 禁止事項
- パスワード・APIキーをコード内に直接記述する
- ユーザー入力を検証せずにデータベース・ファイルシステムに渡す
- SQLクエリを文字列連結で構築する
- HTMLをエスケープせずに出力する
- 認証なしでAPIエンドポイントを公開する
- 機密情報をログに出力する
- デバッグ情報を本番環境で有効にする
