외부 보안팀이 쓸 기준과 같은 기준으로 먼저 훑어서 고쳐두는 워크플로.
\n동시 실행:
\nAgent(subagent_type: \"security-audit\") — P0 코드 규칙 12항목(하드코딩 시크릿·인증누락·PII로깅 등)\n + 에이전트 설정 8항목(.claude/훅·MCP·permissions·프롬프트 인젝션) grep 기반 스캔\n# SonarQube 보안 핫스팟 (TO_REVIEW만) — sonar-project.properties 없으면 이 단계는\n# 스킵하고 스킵 사실만 보고. 호스트/토큰 하드코딩 금지:\n# 환경변수 $SONAR_HOST_URL / $SONAR_TOKEN 사용.\nif [ -f sonar-project.properties ]; then\n key=$(grep 'sonar.projectKey' sonar-project.properties | cut -d= -f2-)\n curl -s -u \"${SONAR_TOKEN}:\" \\\n \"${SONAR_HOST_URL}/api/hotspots/search?projectKey=$key&status=TO_REVIEW&ps=500\" \\\n | python3 -c \"import sys,json; d=json.load(sys.stdin); print('TO_REVIEW:', len(d['hotspots'])); [print(h['ruleKey'], h['component'], h.get('line','')) for h in d['hotspots']]\"\nfi\nsecurity-audit 프롬프트에는 이 프로젝트의 구체 맥락(인증 방식, 세션 처리, CORS 설정,\n데이터 접근 계층, PII 필드)을 짚어주면 결과 품질이 좋아짐 — 기억으로 서술하지 말고\n스킬 실행 시점에 레포의 인증/세션/CORS/데이터접근 진입점을 grep 으로 확인해서\n실제 발견한 것을 반영.
\n.env git 유출 등.표 형식으로 보고: P0 N건 / P1 N건 / 통과 N건.
같은 파일/같은 주제끼리 묶어서 이슈 하나로 — 발견사항당 이슈 남발 금지.\n예: 같은 인증 컨트롤러에서 발견된 rate-limit·쿠키속성·상수시간비교 3건은 이슈 1개로.
\n# forge CLI 는 rules/forge.md 기준\ngh issue create -t \"<제목>\" -b \"<사전점검 배경 + 구체적 발견사항 + 관련 파일>\" # GitHub\nglab issue create -t \"<제목>\" -d \"<사전점검 배경 + 구체적 발견사항 + 관련 파일>\" -y # GitLab\n로컬 설정(.claude/settings.local.json allow 트림, MCP 권한 재검토 등)은 이슈\n없이 바로 처리 — 코드가 아니라 로컬 스코프 설정이라 P1 워크플로 대상이 아님.
이슈를 성격별로 나눠 동시에 Agent 호출. 같은 파일을 건드리는 이슈는 한\n에이전트에 몰아서 — 별도 에이전트로 쪼개면 같은 파일 동시수정 충돌.
| 작업 성격 | \nsubagent_type | \nmodel | \n
|---|---|---|
| 인증/암호/세션 등 보안 판단이 들어가는 백엔드 수정 | \nsdlc-developer | \nopus | \n
| 일반 구현(로깅/검증/설정) | \nsdlc-developer | \nsonnet | \n
| 조사만 하고 근거 있으면 유지, 없으면 수정하는 단순 검토 | \ngeneral-purpose | \nhaiku | \n
각 Agent 호출에 isolation: \"worktree\" 필수(병렬 파일 수정 충돌 방지),\n브랜치 생성 후 push/merge는 하지 말고 커밋까지만 하도록 프롬프트에 명시 —\n머지는 부모 세션이 순차로 게이트한다(동시에 여러 worktree가 main을 건드리면\n레이스 발생).
에이전트 완료 알림 올 때마다:
\ngit pull && git merge <branch> --no-edit.claude/hooks/pre-commit.sh 의 스택 게이트가 기준)git pushgit worktree remove <path> --force && git branch -d <branch>rules/forge.md)대로 이슈 노트 + 클로즈.claude/memory/project_security-precheck.md에 날짜·발견건수·처리 이슈번호·\n받아들이기로 한 리스크(예: rate-limit 키가 프록시 뒤에서 부정확할 수 있음,\n특정 MCP allow 유지 결정 등)를 남긴다. 다음 점검 때 이미 검토하고 유지하기로 한\n항목을 또 묻지 않기 위함.
request.getRemoteAddr() 등)만 쓰면\n리버스프록시 뒤에서 전체 요청이 프록시 IP로 잡혀 전역 잠금이 될 수 있음 — 배포\n토폴로지에 따라 X-Forwarded-For 파싱 필요 여부를 검증 단계에서 확인.node_modules, venv 등)이 없어 프론트/빌드 게이트가\n환경적으로 실패하는 경우가 있음 — 백엔드 전용 변경이면 심링크로 우회 가능(커밋\n대상 아님), 프론트 변경이 포함된 이슈라면 해당 worktree에서 패키지 설치\n(lockfile 고정)를 먼저 실행하도록 에이전트 프롬프트에 명시.mcp__*)은 툴 단위 grant라 \"읽기 전용만 허용\" 같은 세분화가\n불가능 — 실사용 필요성이 있으면 무리하게 제거하지 말고 근거를 메모리에\n남기고 유지.