npmパッケージのセキュリティ調査

通常の攻撃:
  攻撃者 → あなたのアプリ（直接）

サプライチェーン攻撃:
  攻撃者 → ライブラリ（汚染）→ あなたのアプリ（間接）

① メンテナのnpmアカウントを乗っ取る
         ↓
② 悪意あるバージョン（axios@1.14.1）を公開
         ↓
③ 悪意ある依存「plain-crypto-js@4.2.1」を仕込む
         ↓
④ npm install 時に postinstall スクリプトが自動実行
         ↓
⑤ 開発者PCやCI環境にRAT（遠隔操作マルウェア）が展開

STEP 1: 実際にインストールされているバージョンを確認
         ↓
STEP 2: 悪意ある依存パッケージの有無を確認
         ↓
STEP 3: npm audit で既知の脆弱性を一括チェック

# STEP 1: バージョン確認
npm list axios
grep '"axios"' package-lock.json

# STEP 2: 悪意ある依存の確認
npm list plain-crypto-js
grep 'plain-crypto-js' package-lock.json

# STEP 3: 脆弱性チェック
npm audit

① 監視ツールを入れる   → 脆弱性を自動検知
② npm の運用を固める  → 危険なインストールを防ぐ
③ CI に組み込む        → マージ前に自動チェック

# ロックファイルを厳守（CI環境では必須）
npm ci

# postinstall スクリプトの実行を防ぐ
npm install --ignore-scripts
# ⚠️ esbuild など一部の正規パッケージも動かなくなる場合あり

# .github/workflows/audit.yml
name: Security Audit
on:
  push:
    branches: [main]
  pull_request:

jobs:
  audit:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-node@v4
      - run: npm ci
      - run: npm audit --audit-level=high

① 検知・確認    → 本当に影響があるか事実確認
      ↓
② 隔離・修正    → 安全なバージョンに戻す
      ↓
③ 被害確認      → マルウェアが実行されたか調べる
      ↓
④ ローテーション → 漏れた可能性のある認証情報を無効化

# ② 安全なバージョンに戻す
npm install axios@1.14.0

# node_modules を完全に作り直す
rm -rf node_modules package-lock.json
npm install

# ③ postinstall 実行ログの確認
cat ~/.npm/_logs/*.log | grep postinstall

# ④ ローテーションチェックリスト（Next.js + Supabase構成）
□ Supabase の service_role キーを再発行
□ .env に入っている全APIキーを無効化・再発行
□ GitHub Personal Access Token を再発行
□ GitHub Actions の Secrets を更新
□ npm アクセストークンを再発行
□ Vercel の環境変数を更新

インストール前  →  Socket.dev
インストール時  →  npm audit
開発・PR時      →  Snyk / Dependabot
CI実行時        →  npm audit（CI組み込み）

# Dependabot 設定（.github/dependabot.yml）
version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "weekly"
    open-pull-requests-limit: 5