sast — Claude Code プラグイン (SAST)

SAST をスラッシュコマンドスキル、サブエージェント、ライフサイクルフックを通じて Claude Code に直接組み込む、自己完結型の Claude Code プラグイン (sast) です。

プラグイン構成

sast/
├── .claude-plugin/
│   ├── plugin.json                  # プラグインマニフェスト (name: "sast")
│   ├── marketplace.json             # マーケットプレイスマニフェスト (name: "sast")
│   └── icon.png                     # 1024x1024 の正方形 PNG プラグインアイコン
├── skills/
│   ├── scan/
│   │   └── SKILL.md                 # /sast:scan    — 完全な SAST + taint + secrets + IaC + SCA スキャン
│   ├── diff/
│   │   └── SKILL.md                 # /sast:diff    — git 変更ファイルに対する高速インクリメンタルスキャン
│   ├── secrets/
│   │   └── SKILL.md                 # /sast:secrets — シークレット検出 + ライブキー検証 + git 履歴
│   ├── sca/
│   │   └── SKILL.md                 # /sast:sca     — 依存関係の CVE (OSV)、依存関係混乱、CMS、ライセンス
│   ├── triage/
│   │   └── SKILL.md                 # /sast:triage  — 脅威モデル、FP ゲート検査 & 悪用可能性トリアージ
│   └── fix/
│       └── SKILL.md                 # /sast:fix     — 自動修復 diff & パッチ適用後の検証
├── agents/
│   ├── security-auditor.md          # @agent-sast:security-auditor
│   └── remediation-engineer.md      # @agent-sast:remediation-engineer
├── hooks/
│   └── hooks.json                   # PostToolUse (Write|Edit) シークレットトリップワイヤー & 任意の単一ファイルスキャン
├── scripts/
│   ├── sast_runner.py               # 同梱の自己完結型 SAST ランナー & Claude サマリーフォーマッター
│   └── post_edit_check.py           # 高速 PostToolUse フックハンドラー
└── README.md

クイックスタート

GitHub マーケットプレイスからのインストール (推奨)

claude plugin marketplace add vulnz/sast
claude plugin install sast@sast

または、対話型の Claude Code セッション内で:

/plugin marketplace add vulnz/sast
/plugin install sast@sast

プラグインをローカルで検証

claude plugin validate .

スラッシュコマンド (スキル)

コマンド	説明
/sast:scan [path]	完全な SAST + AST/taint (16 以上の言語) + secrets + IaC + SCA スキャン
/sast:diff [path]	git の変更済み、ステージ済み、未追跡ファイルに対する高速インクリメンタル SAST スキャン (--changed)
/sast:secrets [path]	作業ツリーと --git-history をスキャンし、ハードコードされた認証情報をライブプロバイダーキー検証付きで検出
/sast:sca [path]	依存関係 (OSV CVE)、依存関係混乱、バンドルされた JS ライブラリ、CMS プラグイン、および --licenses を監査
/sast:triage [path]	STRIDE --threat-model を構築し、0-FP の実検出のみゲートに対して検出結果をトリアージ
/sast:fix [path]	脆弱性を修復 (--remediation) し、--changed で再検証

サブエージェント

• @agent-sast:security-auditor — 同梱の SAST スキャナーを実行し、ソースファイル内のソースからシンクへのデータフローを追跡し、優先順位付けされた脆弱性レポートを生成します。
• @agent-sast:remediation-engineer — 最小限のセキュリティパッチを作成し、スキャナーを再実行して各修正を検証します。

プラグインオプション (userConfig)

Claude Code のプラグイン設定ダイアログ (/plugin → Configure options) から設定します:

• scan_on_edit (boolean、デフォルト false) — PostToolUse (Write|Edit) フック内で自動の単一ファイル SAST スキャンを有効にします。
• provider_api_key (string、sensitive: true、任意) — スタンドアロンの AI トリアージ/修復 diff 用に、Claude Code の安全な認証情報ストレージに保存される任意の API キー。