AI生成コードのセキュリティ確認チェックリスト

①入力と出力の境界

• ★ 外部入力をクエリに使う所で、パラメータ化（プレースホルダ）やORMを使っているか
• ユーザー由来の文字列を、エスケープせずにHTMLへ出していないか
• 入力からコマンド・ファイルパスを組み立てて、想定外の実行・読み書きにならないか
• 受け取る値の長さ・型・形式を検証しているか

②秘密と権限

• ★ APIキー・パスワード・トークンがコードにべた書きされていないか（環境変数等に外せているか）
• ★ 認証だけでなく「その人がこの操作・データにアクセスしてよいか」（認可）を確認しているか
• エラーメッセージ・ログに、内部情報や秘密が出ていないか

③依存とデフォルト

• ★ 追加したライブラリが実在し、メンテされ、既知の脆弱性がないか（一次情報・監査ツールで確認）
• verify=False・CORS全許可・デバッグ有効などの危険なデフォルトが残っていないか
• 暗号・ハッシュに、古い方式や自前実装を使っていないか

共通

• 機能テストとは別に、わざと変な値を入れて挙動を確かめたか
• 判断に迷う所は、セキュリティ担当や専用ツールにも確認したか