OpenAIが提供しているClaude Codeのプラグイン(codex-plugin-cc)を試してみました。

import sqlite3
import os
import json

DB_PATH = "app.db"
ADMIN_PASSWORD = "admin1234"

def connect():
    return sqlite3.connect(DB_PATH)

def login(username, password):
    conn = connect()
    cur = conn.cursor()
    query = f"SELECT id, password FROM users WHERE name = '{username}'"
    cur.execute(query)
    row = cur.fetchone()
    if row and row[1] == password:
        return {"user_id": row[0], "ok": True}
    return {"ok": False}

def search_users(keyword, limit, offset):
    conn = connect()
    cur = conn.cursor()
    sql = "SELECT id, name FROM users WHERE name LIKE '%" + keyword + "%' " \
          f"LIMIT {limit} OFFSET {offset}"
    cur.execute(sql)
    users = cur.fetchall()

    results = []
    for u in users:
        cur.execute(f"SELECT * FROM orders WHERE user_id = {u[0]}")
        orders = cur.fetchall()
        results.append({"id": u[0], "name": u[1], "orders": orders})
    return results

def export_users(path):
    try:
        users = search_users("", 1000000, 0)
        with open(path, "w") as f:
            f.write(json.dumps(users))
    except:
        pass

def run_admin_command(password, cmd):
    if password == ADMIN_PASSWORD:
        os.system(cmd)
        return True
    return False

## 概要

レビュー対象のソースファイルは未追跡の `user_search.py` 1件でした。
セキュリティ、保守性、性能、バグリスク、コーディング規約の観点で確認し、直接コード上で確認できる事項のみ記載しています。

## 指摘事項

### user_search.py

- [CRITICAL] `49-52行` `run_admin_command()` が受け取った `cmd` を `os.system()` に渡しており、認証通過後に任意コマンド実行が可能です。  
  修正案: シェル実行を廃止し、許可済み操作のみに絞った上で `subprocess.run(..., shell=False)` を使ってください。

- [HIGH] `6行` `ADMIN_PASSWORD = "admin1234"` と管理者パスワードがソースに平文で埋め込まれています。  
  修正案: 環境変数や秘密情報ストアへ移し、固定文字列ではなく適切な認証基盤を使用してください。

- [HIGH] `16-17行` `login()` が `username` を f-string でSQLへ埋め込んでおり、SQLインジェクションが成立します。  
  修正案: `SELECT ... WHERE name = ?` のようなプレースホルダ付きクエリへ変更してください。

- [HIGH] `19行` `login()` がDBの `password` と入力値を直接比較しており、平文パスワード保存/照合を前提にした実装です。  
  修正案: パスワードはソルト付きハッシュで保存し、専用ライブラリで検証してください。

- [HIGH] `27-29行` `search_users()` が `keyword`、`limit`、`offset` を文字列連結でSQLへ埋め込んでいます。  
  修正案: 全入力をプレースホルダでバインドし、`limit`/`offset` は整数かつ上限付きで検証してください。

- [MEDIUM] `34-36行` `search_users()` がユーザーごとに `orders` を再検索しており、典型的な N+1 クエリになっています。  
  修正案: JOIN か一括取得に切り替え、Python側でユーザー単位に束ねてください。

- [MEDIUM] `42行` `export_users()` が最大100万件を一括取得し、そのまま全件JSON化しているためメモリ使用量と応答時間が大きくなります。  
  修正案: ページングまたはストリーミング出力に変更し、全件を同時に保持しないでください。

- [MEDIUM] `14-21行, 25-37行` `login()` と `search_users()` でDB接続/カーソルを閉じておらず、呼び出し回数に応じて資源リークを招きます。  
  修正案: `with sqlite3.connect(...) as conn:` を使い、カーソルも明示的に閉じてください。

- [LOW] `45行` `export_users()` の `except:` がすべての例外を握りつぶしており、障害検知とデバッグを困難にします。  
  修正案: 捕捉対象を具体化し、少なくともログ出力または再送出を行ってください。

## 総評

現状の `user_search.py` は、認証・検索・管理操作のすべてで重大なセキュリティ問題を含んでおり、そのままでは運用不可です。
まずは SQL の完全なパラメータ化、認証情報の平文排除、任意コマンド実行の廃止を優先し、その後に接続管理と検索/エクスポート処理の性能改善へ進むべきです。