songjianyang/xss-audit

これは何？

主な機能

• 01DOMシンクからフレームワークのテンプレートバインディングまで、XSSチェックを14層にわたって実施
• 02React、TypeScript、JavaScriptのコードベースが対象
• 03SVG、MathML、CSSインジェクション、mXSSによるサニタイザー回避をチェック
• 04プロトタイプ汚染につながるチェーンと、信頼できないpostMessageのデータフローを確認
• 05深刻度別の件数と各検出結果の根拠を記載したxss-audit-report.mdを生成

ユースケース

• リリース前にフロントエンドのコードベースを監査してXSSを確認する
• バグバウンティの対象となるJavaScriptコードをレビューし、インジェクション可能なシンクを探す
• サニタイザーやMarkdownのレンダリング処理を調査し、mXSSのリスクをトリアージする
• Trusted TypesとCSPの設定によってDOMインジェクション経路を遮断できているか確認する

クイックスタート

1. 1

   skillディレクトリをエージェントのskillsディレクトリにコピーします

2. 2

   エージェント内のパスを指定して監査を実行します

   /xss-audit src/

使う前に知っておきたいこと

• !静的解析のみを行うため、誤検知や検知漏れが発生する可能性があります。
• !生成されたレポートには、機密性の高いパス、ソースコード、認証情報が含まれる場合があります。共有する前に内容を確認してください。

収録されている特集

トピック

よくある質問

xss-audit とは？

React、TypeScript、JavaScriptのコードベースを14層にわたって静的XSS監査し、レポートを生成するAIエージェント用スキル。 xss-auditは、AIコーディングエージェント向けのスキルで、React、TypeScript、JavaScriptのプロジェクトを対象にクロスサイトスクリプティング（XSS）の静的レビューを実施します。innerHTMLやdangerouslySetInnerHTMLなどのDOMシンク、URLやナビゲーションの処理、scriptタグにシリアライズされたJSON、プロトタイプ汚染につながるチェーン、postMessageなどの信頼できないソース、SVGやMathML、Markdownの処理パイプラインやmXSSなどのサニタイザー回避、CSSインジェクション、フレームワークのテンプレートバインディング、Trusted TypesとCSPの設定を対象に、14層のチェックを順に行います。

xss-audit は無料で使えますか？ライセンスは？

xss-audit は MIT ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。

xss-audit は今もメンテナンスされていますか？

活発にメンテナンス中。xss-audit の最終コミットは 2026年10月24日 です。

xss-audit は何に使えますか？

リリース前にフロントエンドのコードベースを監査してXSSを確認する バグバウンティの対象となるJavaScriptコードをレビューし、インジェクション可能なシンクを探す サニタイザーやMarkdownのレンダリング処理を調査し、mXSSのリスクをトリアージする Trusted TypesとCSPの設定によってDOMインジェクション経路を遮断できているか確認する

xss-audit のインストール方法は？

skillディレクトリをエージェントのskillsディレクトリにコピーします エージェント内のパスを指定して監査を実行します: /xss-audit src/

xss-audit はどこで入手できますか？

ソースコードとインストール手順は GitHub にあります：https://github.com/songjianyang/xss-audit