[Skill 名] php-session-cookie-audit

PHP セッションと Cookie セキュリティ監査（php-session-cookie-audit）

PHP プロジェクトのソースコードにおける認証セッション関連のセキュリティ設定と実装ロジックを分析し、以下の点を重点的に検出します。

• セッションフィクセーション
• Cookie フラグの欠落（HttpOnly/Secure/SameSite）
• JWT 検証の欠陥（署名アルゴリズムの混同、exp/iss/aud の未検証、脆弱な秘密鍵）
• remember-me/永続ログインの脆弱性（存在する場合）

分類と番号付け

• 詳細については、shared/SEVERITY_RATING.md を参照してください。
• 脆弱性番号：{C/H/M/L}-SESS-{連番}

必須検査内容（強制）

1. セッション初期化：
   • ログイン後に session_regenerate_id が行われているか
   • 適切なタイムアウト、Cookie パラメータが設定されているか
2. Cookie フラグ：
   • HttpOnly、Secure、SameSite が明示的に設定されているか
3. JWT：
   • decode/verify に使用されるアルゴリズムが固定されているか
   • exp/nbf/iss/aud が検証されているか
   • secret/公開鍵がハードコードされているか、または安全でない方法で読み込まれているか
4. ログアウト/無効化：
   • ログアウトがセッションとトークンを実際にクリアしているか

PoC 要件（強制）

• セッションフィクセーションの場合：リクエストシーケンスを提示する（ログイン前にセッションIDを固定 -> ログイン後にセッションの変化を検証）
• Cookie フラグの場合：ブラウザ側で確認できる差異と危険性を説明する（およびHTTP応答ヘッダーの例を提示する）
• JWT の場合：「署名アルゴリズム/クレーム検証の欠落」のリクエスト PoC フレームワークを提示する（ペイロードの構築方法を説明する必要がある）

証拠引用（強制：php-route-tracer から）

各セッションと Cookie セキュリティの疑わしいリスクは、trace 出力中の ## 9) Sink Evidence Type Checklist の SESS 行に対応する証拠要点を項目ごとに引用する必要があります（ステータスが「検証待ち」であっても構いませんが、証拠引用は必須です）。

1. EVID_SESS_SESSION_INIT_REGEN：ログイン後の session_regenerate_id などのセッション固定対策の証拠
2. EVID_SESS_COOKIE_FLAGS：Cookie フラグ（HttpOnly/Secure/SameSite）設定の証拠
3. EVID_SESS_JWT_VERIFY_CLAIMS：JWT 署名アルゴリズムの固定と exp/nbf/iss/aud などのクレーム検証の証拠
4. EVID_SESS_LOGOUT_CLEAR：ログアウトがセッションとトークンを実際にクリアしているかどうかの証拠

tracer 証拠欠落の処理（強制）

• trace 契約検証が失敗した場合、または上記の 1～4 のいずれかの重要な証拠点が欠落している場合：そのリスクは ⚠️検証待ち としかマークできず、「悪用可能であることが確認された」という断言はできません。

報告出力

{output_path}/vuln_audit/sess_{timestamp}.md

項目テンプレート（強制）

以下を必ず含める必要があります：位置証拠 + データフローチェーン（トークン/セッション -> 検証 -> 認可）+ 悪用可能な前提条件 + PoC + 修正提案 + rg 検索ステートメント。