組織固有のセキュリティルールを AI コーディングに強制する

手順

1. リポジトリ直下などに claude-security-guidance.md を作る。例:
   markdown

   - SQL は必ずプレースホルダを使う。文字列連結でクエリを組み立てない
   - 認証が必要なエンドポイントには必ず middleware `requireAuth` を通す
   - シークレットは Secrets Manager から取得し、コードや .env に書かない
   - 外部 URL の fetch は allowlist（config/allowed-hosts.ts）を通す

2. 全社展開する場合は MDM でユーザー環境に配布する。
3. ルールは「検証可能な具体的な形」で書く（曖昧な「安全に」は効かない）。

注意点

• AI 任せのチェックは見落としがある。Semgrep 等の静的解析ルールとして同じ内容を CI でも強制する。
• 詳細仕様は公式ドキュメント参照（プラグインのバージョンで変わりうる）。

出典

• @ClaudeDevs · 2026-05-27