app:
  description: コードスニペットを受け取り、OWASP Top 10の観点でセキュリティレビューを行うワークフロー。検出された脆弱性(CWE)、CVSS概算、攻撃シナリオ、修正例、テスト方法を出力。Critical脆弱性がある場合は冒頭に警告を表示。
  icon: 🛡️
  icon_background: '#FFEAD5'
  mode: workflow
  name: OWASP Top10 コードレビュー
  use_icon_as_answer_icon: false
kind: app
version: 0.6.0
workflow:
  conversation_variables: []
  environment_variables: []
  features:
    file_upload:
      image:
        enabled: false
    opening_statement: ''
    suggested_questions: []
    suggested_questions_after_answer:
      enabled: false
    text_to_speech:
      enabled: false
  graph:
    edges:
    - data:
        sourceType: start
        targetType: knowledge-retrieval
      id: start-to-kr_auto
      source: start
      target: kr_auto
    - data:
        sourceType: llm
        targetType: end
      id: llm1-to-end
      source: llm1
      target: end
    - id: kr_auto-to-llm1
      source: kr_auto
      target: llm1
      data:
        sourceType: knowledge-retrieval
        targetType: llm
    nodes:
    - data:
        title: 開始
        type: start
        variables:
        - label: query
          max_length: 2048
          options: []
          required: true
          type: paragraph
          variable: query
      height: 90
      id: start
      position:
        x: 80
        y: 282
      type: custom
      width: 244
    - data:
        title: OWASPレビュー
        type: llm
        model:
          provider: openai
          name: gpt-5-mini
          mode: chat
          completion_params:
            temperature: 0.2
        prompt_template:
        - role: system
          text: 'あなたはソフトウェアセキュリティの専門家であり、実務でのコードレビューと脆弱性評価に精通しています。OWASP Top 10の観点を中心に、提示されたコードスニペットを精査し、発見された脆弱性を構造化して出力してください。


            ---


            【最終出力フォーマット (この指示が最優先)】

            最終出力は **読みやすい日本語の Markdown** で返してください。JSON

            配列・オブジェクトをそのまま出力してはいけません。

            - 見出し (## / ###) でセクションを区切る

            - リスト (- / 1.) や表 (| ... |) で構造化

            - 各項目の意図や根拠が分かるよう短い説明文を添える

            - 営業デモで顧客に直接見せられる体裁にする


            (構造化されたデータ項目を内部で扱うのは構いませんが、出力時に Markdown

            に変換してください。)'
        - role: user
          text: "以下の情報を必ず含め、JSON形式で出力してください。配列やオブジェクト構造は厳密に守ってください。出力フィールドは日本語で記述してください。\n\
            \n入力: {{#start.query#}}\n\n出力JSONスキーマ（必須フィールド）:\n{\n  \"warning\": string\
            \ or null,          // Critical脆弱性がある場合は冒頭の警告文（日本語）。無ければ null\n  \"summary\"\
            : string,                  // 1-2行の総括（重要な脆弱性があれば明記）\n  \"vulnerabilities\"\
            : [                // 検出された脆弱性リスト（存在しない場合は空配列）\n    {\n      \"id\": string,\
            \                   // 一意の識別子（任意の短いID）\n      \"cwe\": string,       \
            \           // CWE番号と名称 例: \"CWE-79 (Cross-site Scripting)\"\n      \"\
            cvss\": number,                 // CVSS概算 0-10 の数値（小数可）\n      \"severity\"\
            : string,             // \"Info\"/\"Low\"/\"Medium\"/\"High\"/\"Critical\"\
            \n      \"description\": string,          // 脆弱性の簡潔な説明（なぜ脆弱か）\n      \"\
            attack_scenario\": string,      // 攻撃シナリオ（実際にどのように悪用されるか）\n      \"location\"\
            : string,             // コード内の該当箇所（行番号や関数名など、特定できる場合）\n      \"secure_code_example\"\
            : string,  // 修正後のセキュアなコード例（言語を明記、最小限の変更で安全化）\n      \"fix_explanation\"\
            : string,      // なぜその修正が安全なのかの説明（短く）\n      \"test_manual\": string,\
            \          // 手動テスト手順（具体的な操作と期待結果）\n      \"test_automated\": string \
            \       // 自動テスト方法（単体テストや静的解析ルール、サンプルテストコードやコマンド）\n    }\n  ]\n}\n\n注意事項:\n\
            - CVSSが9.0以上を「Critical」として扱い、warningフィールドに明確な警告文を入れてください。例: \\\"CRITICAL:\
            \ リモートコード実行の可能性あり。即時対応推奨。\\\"\n- 可能な限りCWE番号を付与してください。推定が難しい場合は最も関連するCWEを記載して推定であることを明記してください。\n\
            - secure_code_exampleは安全性を保ちながらも実用的で簡潔にしてください。長すぎる場合は最小限の修正例に絞ってください。\n\
            - test_automatedは具体的なツールやコマンド、テストコードのサンプル（短いスニペット）を含めてください。\n- 出力はまずwarning（存在する場合）とsummaryを表示し、その後vulnerabilities配列を返してください。\n\
            - 出力は必ずJSONのみ。余分な説明文や追加テキストは含めないでください。\n"
        vision:
          enabled: false
        memory: null
        context:
          enabled: true
          variable_selector:
          - kr_auto
          - result
      height: 90
      id: llm1
      position:
        x: 380
        y: 282
      type: custom
      width: 244
    - data:
        title: 終了
        type: end
        outputs:
        - value_selector:
          - llm1
          - text
          variable: result
      height: 90
      id: end
      position:
        x: 680
        y: 282
      type: custom
      width: 244
    - id: kr_auto
      type: custom
      width: 244
      height: 90
      position:
        x: 80
        y: 282
      data:
        title: ナレッジ検索
        type: knowledge-retrieval
        dataset_ids:
        - __KR_0__
        retrieval_mode: single
        single_retrieval_config:
          model:
            provider: openai
            name: gpt-5-mini
            mode: chat
            completion_params:
              temperature: 0.7
        query_variable_selector:
        - start
        - query
  hash: null
