shkSecurity Harness Kit

ドキュメントはじめに

クイックスタート

数分でポリシーを作成し、プロジェクトをスキャンし、プロンプトをマスクし、.env ファイルを暗号化し、Git および AI ツールフックをインストールします。

目次

このページでは、最も一般的な shk のワークフローを順に説明します。CLI がすでにインストールされていることを前提としています。まだの場合はインストールを参照してください。

  1. 1. 設定shk init
  2. 2. 確認shk scan .
  3. 3. 継続的な保護Git / AI hooks + CI

まず手順 1〜2 でスキャンを確認し、用途に応じてマスク・暗号化・フックを追加します。

1. プロジェクトポリシーを作成する

プロジェクトのポリシーファイルを作成します。

shk init
bash

これにより、カレントディレクトリに shk.toml が書き込まれます。読み取り専用のコマンドはこのファイルがなくても動作しますが、ファイルやツール設定を書き込むコマンドにはプロジェクトポリシーが必要です。package.json が存在する場合、shk init は ignore-scripts=true やリリース経過日数のゲートなど、パッケージマネージャーのサプライチェーン強化も適用できます。この手順をスキップするには --no-npm-hardening を渡してください。

medium 重要度の検出結果で失敗する、より厳格な初期設定を使うには次のようにします。

shk init --strict
bash

2. プロジェクトをスキャンする

現在のプロジェクトをスキャンします。

shk scan .
bash

機械可読なレポートを出力します。

shk scan . --json
bash

ステージ済みファイルのみ、またはベースブランチに対して変更されたファイルのみをスキャンします。

shk scan --staged
shk scan . --changed-since origin/main
bash

Git 履歴のスキャン、SARIF 出力、終了コードのセマンティクスについては shk scan を参照してください。

3. AI と共有する前にコンテンツをマスクする

標準入力からの機密コンテンツをマスクします。

shk mask < prompt.txt
bash

Office ドキュメントをマスクして新しいファイルに書き出します。

shk mask report.docx --output report.redacted.docx
bash

クリップボードを直接スキャンまたはマスクします。

shk clipboard scan
shk clipboard mask --write
bash

4. .env ファイルを暗号化する

.env ファイルをその場で暗号化し、復号した値を実行時にのみ注入してコマンドを実行します。

shk env encrypt .env --in-place
shk env run -- npm test
bash

秘密鍵はデフォルトで OS キーリングに保存されます。チームは 1Password にオプトインすることもできます。Env シークレットストアを参照してください。

5. フックをインストールする

ステージ済みファイルをスキャンする Git pre-commit フックをインストールします。

shk hooks install
bash

ブロックせずに観察するため、監査モードで AI ツールフックをインストールします。

shk hooks install-ai --audit
bash

ブロックしつつメタデータのみのブロックログを残す AI ツールフックをインストールし、そのログを確認します。

shk hooks install-ai --log-blocked
shk audit
bash

フックは Claude Code、Cursor、Codex、GitHub Copilot、Antigravity、Grok Build、Windsurf でサポートされています。ツール固有のオプションについては shk hooks install-ai を参照してください。

6. CI を追加する

すべてのプルリクエストをスキャンする GitHub Actions ワークフローを生成します。

shk ci init github
# GitHub コードスキャンのアラートと PR アノテーションを追加する場合:
shk ci init github --upload-sarif
bash

または、Linux または macOS ランナーで checkout の後にリポジトリのコンポジットアクションを使います。

permissions:
  contents: read
  security-events: write

steps:
  - uses: actions/checkout@v7
    with:
      persist-credentials: false
  - uses: Kazuki-tam/security-harness-kit@v1
    with:
      path: .
      fail-on: high
      upload-sarif: true
yaml

モード、固定（ピン留め）、トラブルシューティングについては GitHub Actions を参照してください。

7. エージェントスキルをインストールしてカバレッジを確認する

Claude Code、Codex、Cursor、Copilot、Antigravity、Grok Build、Windsurf 向けに shk エージェントスキルをインストールします。

shk skills install
bash

ignore のカバレッジを確認します。

shk doctor ignore
bash

主なコマンド一覧

目的 最初のコマンド 詳細
ポリシーを作成 shk init init
スキャン shk scan . scan
共有前にマスク shk mask < prompt.txt mask
表を仮名化 shk mask orders.csv --pseudonymize --columns "Email:email" --output orders.pseudo.csv mask
保護状況を診断 shk doctor doctor
ブロックを確認 shk audit audit
MCP 設定を監査 shk mcp audit mcp audit
暗号化して実行 shk env run -- npm test env
AI フックを導入 shk hooks install-ai --log-blocked hooks
CI を追加 shk ci init github CI
スキルを導入 shk skills install skills