📦

dbcraft

Name: dbcraft
Author: laozhu001

مراجعة المحتوى r1 مخاطر عالية ⚙️ الأوامر الخارجية🔑 متغيرات البيئة🌐 الوصول إلى الشبكة

تصميم مخططات قواعد البيانات باستخدام DB Craft

يمكن أن يصبح تصميم مخططات قواعد البيانات مشتتًا بين الملاحظات ومسودات SQL والمخططات. يفتح DB Craft استوديو مرئيًا محليًا لنمذجة الجداول، والتحقق من البنية، وتصدير SQL.

يدعم: Claude Codex Code(CC)

⚠️ 38 ضعيف

توقف واطلب التأكيد قبل التثبيت.

راجع الخطة واحصل على موافقة صريحة من المستخدم قبل تغيير الملفات.

التثبيت باستخدام Agent لدي

انسخ هذا الطلب إلى Agent لديك. يتضمن صفحة Skill المعتمدة وملف manifest.

طلب الوكيل

Review the Skillstore skill "dbcraft" from https://skillstore.io/skills/laozhu001-dbcraft.md and its manifest at https://skillstore.io/api/skills/laozhu001-dbcraft/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

يجب أن يواصل Agent عرض خطته وطلب أي تأكيد تفرضه سياسة الأمان.

موارد مهيّأة لـ Agents

استخدم هذه الروابط عندما يحتاج AI Agent أو crawler أو script إلى سياق نظيف بدلًا من قراءة الصفحة كاملة.

تفاصيل Markdown GET /skills/laozhu001-dbcraft.md manifest موقَّع GET /api/skills/laozhu001-dbcraft/manifest lockfile موقَّع GET /api/skills/laozhu001-dbcraft/lockfile

اختبرها

جارٍ استخدام "dbcraft". أنشئ نموذج حجز PostgreSQL.

النتيجة المتوقعة:

يفتح DB Craft الاستوديو المحلي، وينشئ نموذج حجز، ويضيف الجداول الأساسية، ويتحقق من البنية، ويحضّر SQL قابلًا للتصدير.

جارٍ استخدام "dbcraft". استورد تعريفات جداول العملاء الخاصة بي.

النتيجة المتوقعة:

تستورد المهارة التعريفات إلى النموذج الحالي، وترتب المخطط، وتحدد مشكلات البنية، وتحافظ على تحديث نموذج مساحة العمل.

جارٍ استخدام "dbcraft". حضّر هذا المخطط لمراجعة الترحيل.

النتيجة المتوقعة:

يحفظ DB Craft النموذج المرئي، ويصدّر SQL، وينشئ تسليمًا واضحًا لسير عمل ترحيل أو نشر منفصل.

التدقيق الأمني

مخاطر عالية

v4 • ٥‏/٧‏/٢٠٢٦ فتح التقرير المرتبط بالإصدار

Most static hits are false positives from Markdown code spans, loopback URLs, local model filenames, and safety guidance. Confirmed risks remain: the skill can start a local DB Craft service through PowerShell and Node, and AI generation can use OPENAI_API_KEY. I found no prompt injection language or evidence of intentional data exfiltration.

الملفات التي تم فحصها

843

الأسطر التي تم تحليلها

عناصر المراجعة

تم تجاهل الإيجابيات الكاذبة

مخاوف أمنية مؤكدة (2)

مرتفع

SKILL.md:34-35 scripts/launch-dbdesigner.ps1:57

External Application Directory Execution

The skill treats D:\DBdesigner as the source app directory and runs server.js from that location. This executes code outside the skill package, so users must trust a separate local application install.

SKILL.md directs agents to use D:\DBdesigner, and the launcher starts node server.js from that path. The execution target is not contained in the skill package.

متوسط

scripts/launch-dbdesigner.ps1:57

Network reconnaissance

$startedProcess = Start-Process -FilePath $node.Source -ArgumentList @("server.js") -WorkingDirector

The line starts node server.js from the local DBdesigner directory. It is not reconnaissance, but it is real process launch behavior from a skill-controlled script.

عناصر مراجعة القدرات (10)

هذه قدرات محلية حقيقية قد يُتوقع وجودها لهذه المهارة، لذا فهي تتطلب مراجعة ولكن لا تُحتسب كسلوك خبيث مؤكد.

مرتفع

references/install-prerequisites.md:6

PowerShell invocation

- The skill assumes a local DB Craft app can be started from a Windows environment with PowerShell s

This documents that the skill starts a local DB Craft app through PowerShell. That is real external command behavior and requires user trust in the launcher and local app.

مرتفع

references/install-prerequisites.md:12

PowerShell invocation

- PowerShell must be available because the current launcher uses `launch-dbdesigner.ps1`.

PowerShell is a required runtime because the skill uses launch-dbdesigner.ps1. Running PowerShell scripts from a marketplace skill is a real command execution surface.

مرتفع

references/install-prerequisites.md:48

Generic API/secret keys

- AI table generation does not require a server-side `OPENAI_API_KEY` if the user configures a model

The documentation discusses a server-side OPENAI_API_KEY path for AI generation. Even if optional, this confirms that the app may rely on secret-bearing environment configuration.

مرتفع

references/usage.md:87

Generic API/secret keys

- Fallback key source: server env var `OPENAI_API_KEY`

The usage guide names OPENAI_API_KEY as a fallback key source. Reading API keys from the server environment is a real credential handling risk.

مرتفع

SKILL.md:35

Ruby/shell backtick execution

- Start the app with `node server.js` in that directory. Use the bundled PowerShell launcher for rel

The skill instructs the agent to start the app with node server.js and use the PowerShell launcher. This is real external process execution.

مرتفع

SKILL.md:35

PowerShell invocation

- Start the app with `node server.js` in that directory. Use the bundled PowerShell launcher for rel

The skill explicitly directs use of a PowerShell launcher to start DB Craft. That creates a real script execution surface for a marketplace skill.

مرتفع

SKILL.md:42

PowerShell invocation

- The PowerShell launcher defaults `WorkspacePath` to the current shell directory so DB Craft opens

The line describes launcher behavior that passes the current workspace path to DB Craft. It confirms PowerShell launcher use and local workspace exposure to the launched app.

مرتفع

SKILL.md:25

Generic API/secret keys

4. If the user needs AI table generation, confirm `OPENAI_API_KEY` is available in the current envir

The skill tells the agent to confirm whether OPENAI_API_KEY is available. Checking a secret-bearing environment variable is legitimate for AI use but remains sensitive.

مرتفع

SKILL.md:79

Generic API/secret keys

- Prefer the API key saved in `Settings -> AI Config`; fall back to the server environment variable

The skill states that DB Craft falls back to the server environment variable OPENAI_API_KEY. This is direct credential handling and should require careful disclosure and logging controls.

متوسط

SKILL.md:21

Ruby/shell backtick execution

- If it is not up, run `scripts/launch-dbdesigner.ps1` to start the local server, then tell the user

The Markdown backticks are not Ruby execution, but the instruction tells the agent to run scripts/launch-dbdesigner.ps1. That is real external command execution.

عوامل الخطر

⚙️ الأوامر الخارجية (37)

🔑 متغيرات البيئة (4)

references/install-prerequisites.md:48 references/usage.md:87 SKILL.md:25 SKILL.md:79

🌐 الوصول إلى الشبكة (10)

scripts/launch-dbdesigner.ps1:36 scripts/launch-dbdesigner.ps1:3 SKILL.md:19 SKILL.md:23 SKILL.md:37 SKILL.md:45 SKILL.md:19 SKILL.md:23 SKILL.md:37 SKILL.md:45

الأنماط المكتشفة

Network reconnaissance

دقّقه: codex عرض سجل التدقيق →

شارك واستشهد بهذا التقرير

شارك تقرير التقييم المرتبط بالإصدار والشارة المحايدة وبطاقة التضمين والاستشهادات. تعرض Skillstore الأدلة من دون أن تقرر ما إذا كانت هذه المهارة آمنة.

فتح التقرير المرتبط بالإصدار

نسخ رابط التقرير

https://skillstore.io/skills/laozhu001-dbcraft/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

شارة Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/laozhu001-dbcraft/security.svg)](https://skillstore.io/skills/laozhu001-dbcraft?utm_source=security_passport_badge)

شارة HTML

<a href="https://skillstore.io/skills/laozhu001-dbcraft?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/laozhu001-dbcraft/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

بطاقة قابلة للتضمين

<iframe src="https://skillstore.io/embed/skills/laozhu001-dbcraft.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

الاستشهادات الأكاديمية (APA · BibTeX · CFF)

اقتباس APA

laozhu001. (2026). dbcraft security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/laozhu001-dbcraft/audits/4

اقتباس BibTeX

@techreport{laozhu001-laozhu001-dbcraft-2026,
  author = {laozhu001},
  title = {dbcraft security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/laozhu001-dbcraft/audits/4},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "dbcraft security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
  - name: "laozhu001"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/laozhu001-dbcraft/audits/4"
identifiers:
  - type: other
    value: "skillstore:laozhu001-dbcraft:audit:4"
    description: "Skillstore immutable audit report identifier"

تقييم Skillstore

سبب هذا التقييم موثوقية الأدلة: متوسط

الهندسة المعمارية

قابلية الصيانة

المحتوى

المجتمع

الامتثال للمواصفات

ما الذي يمكنك بناؤه

تخطيط جداول خدمة جديدة

أنشئ نموذجًا مرئيًا لخدمة جديدة، وتحقق من بنية الجداول، وصدّر SQL لمراجعة التنفيذ.

تحويل المتطلبات إلى نماذج

حوّل متطلبات المنتج أو لقطات الشاشة إلى جداول توائم احتياجات بيانات الواجهة الأمامية مع تخزين الواجهة الخلفية.

مراجعة تسليمات المخطط

افحص العلاقات والجداول المنشأة وSQL المصدّر قبل أن يطبق سير عمل ترحيل منفصل التغييرات.

جرّب هذه الموجّهات

فتح نموذج جديد

افتح DB Craft وأنشئ نموذج MySQL 8 لنظام إدارة الطلاب. أضف جداول student وclass وteacher.

استيراد SQL حالي

افتح DB Craft واستورد تعريفات الجداول الحالية الخاصة بي إلى نموذج مساحة العمل الحالية. تحقق من البنية ونظم المخطط.

إنشاء جداول باستخدام الذكاء الاصطناعي

استخدم DB Craft AI لتصميم جداول لسير عمل عربة تسوق وتقديم طلب والدفع في التجارة الإلكترونية. احفظ النموذج في مساحة العمل النشطة.

تحضير تسليم الترحيل

تابع من تسليم DB Craft الحالي، وحدّث النموذج بالتغييرات المطلوبة، وتحقق منه، وصدّر SQL، ولخص ملاحظات النشر.

أفضل الممارسات

احتفظ بكل نموذج مشروع محفوظًا في دليل مساحة العمل النشطة.
راجع SQL المنشأ قبل استخدامه في سير عمل قاعدة بيانات حقيقية.
استخدم مفاتيح API الشخصية بعناية وأخفِ الأسرار من لقطات الشاشة.

تجنب

التعامل مع مخرجات DB Craft كتغيير تلقائي في قاعدة بيانات إنتاجية.
بدء خدمات محلية مكررة قبل التحقق من الخدمة الحالية.
وضع الأسرار في تعليقات المخطط أو مطالبات الذكاء الاصطناعي أو لقطات الشاشة العامة.