📦

dbcraft

Name: dbcraft
Author: laozhu001

Inhaltsrevision r1 Hohes Risiko ⚙️ Externe Befehle🔑 Umgebungsvariablen🌐 Netzwerkzugriff

Datenbankschemata mit DB Craft entwerfen

Das Design von Datenbankschemata kann sich über Notizen, SQL-Entwürfe und Diagramme hinweg fragmentieren. DB Craft öffnet ein lokales visuelles Studio, um Tabellen zu modellieren, Strukturen zu validieren und SQL zu exportieren.

Unterstützt: Claude Codex Code(CC)

⚠️ 38 Schlecht

Vor der Installation anhalten und eine Bestätigung anfordern.

Prüfen Sie den Plan und holen Sie vor Änderungen an Dateien die ausdrückliche Zustimmung des Benutzers ein.

Mit meinem Agent installieren

Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.

Agent-Anfrage

Review the Skillstore skill "dbcraft" from https://skillstore.io/skills/laozhu001-dbcraft.md and its manifest at https://skillstore.io/api/skills/laozhu001-dbcraft/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.

Agent-lesbare Ressourcen

Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.

Markdown-Detailseite GET /skills/laozhu001-dbcraft.md Signiertes manifest GET /api/skills/laozhu001-dbcraft/manifest Signiertes lockfile GET /api/skills/laozhu001-dbcraft/lockfile

Testen

„dbcraft“ wird verwendet. Erstelle ein PostgreSQL-Buchungsmodell.

Erwartetes Ergebnis:

DB Craft öffnet das lokale Studio, erstellt ein Buchungsmodell, fügt zentrale Tabellen hinzu, validiert die Struktur und bereitet exportierbares SQL vor.

„dbcraft“ wird verwendet. Importiere meine Kundentabellendefinitionen.

Erwartetes Ergebnis:

Der Skill importiert die Definitionen in das aktuelle Modell, ordnet das Diagramm an, markiert Strukturprobleme und hält das Workspace-Modell aktuell.

„dbcraft“ wird verwendet. Bereite dieses Schema für die Migrationsprüfung vor.

Erwartetes Ergebnis:

DB Craft speichert das visuelle Modell, exportiert SQL und erstellt einen klaren Handoff für einen separaten Migrations- oder Deployment-Workflow.

Sicherheitsaudit

Hohes Risiko

v4 • 5.7.2026 Versionsbericht öffnen

Most static hits are false positives from Markdown code spans, loopback URLs, local model filenames, and safety guidance. Confirmed risks remain: the skill can start a local DB Craft service through PowerShell and Node, and AI generation can use OPENAI_API_KEY. I found no prompt injection language or evidence of intentional data exfiltration.

Gescannte Dateien

843

Analysierte Zeilen

Prüfelemente

Falschmeldungen ignoriert

Bestätigte Sicherheitsbedenken (2)

Hoch

SKILL.md:34-35 scripts/launch-dbdesigner.ps1:57

External Application Directory Execution

The skill treats D:\DBdesigner as the source app directory and runs server.js from that location. This executes code outside the skill package, so users must trust a separate local application install.

SKILL.md directs agents to use D:\DBdesigner, and the launcher starts node server.js from that path. The execution target is not contained in the skill package.

Mittel

scripts/launch-dbdesigner.ps1:57

Network reconnaissance

$startedProcess = Start-Process -FilePath $node.Source -ArgumentList @("server.js") -WorkingDirector

The line starts node server.js from the local DBdesigner directory. It is not reconnaissance, but it is real process launch behavior from a skill-controlled script.

Elemente der Fähigkeitsprüfung (10)

Dies sind echte lokale Fähigkeiten, die für diese Fähigkeit erwartet werden können; daher müssen sie überprüft werden, werden jedoch nicht als bestätigtes bösartiges Verhalten gezählt.

Hoch

references/install-prerequisites.md:6

PowerShell invocation

- The skill assumes a local DB Craft app can be started from a Windows environment with PowerShell s

This documents that the skill starts a local DB Craft app through PowerShell. That is real external command behavior and requires user trust in the launcher and local app.

Hoch

references/install-prerequisites.md:12

PowerShell invocation

- PowerShell must be available because the current launcher uses `launch-dbdesigner.ps1`.

PowerShell is a required runtime because the skill uses launch-dbdesigner.ps1. Running PowerShell scripts from a marketplace skill is a real command execution surface.

Hoch

references/install-prerequisites.md:48

Generic API/secret keys

- AI table generation does not require a server-side `OPENAI_API_KEY` if the user configures a model

The documentation discusses a server-side OPENAI_API_KEY path for AI generation. Even if optional, this confirms that the app may rely on secret-bearing environment configuration.

Hoch

references/usage.md:87

Generic API/secret keys

- Fallback key source: server env var `OPENAI_API_KEY`

The usage guide names OPENAI_API_KEY as a fallback key source. Reading API keys from the server environment is a real credential handling risk.

Hoch

SKILL.md:35

Ruby/shell backtick execution

- Start the app with `node server.js` in that directory. Use the bundled PowerShell launcher for rel

The skill instructs the agent to start the app with node server.js and use the PowerShell launcher. This is real external process execution.

Hoch

SKILL.md:35

PowerShell invocation

- Start the app with `node server.js` in that directory. Use the bundled PowerShell launcher for rel

The skill explicitly directs use of a PowerShell launcher to start DB Craft. That creates a real script execution surface for a marketplace skill.

Hoch

SKILL.md:42

PowerShell invocation

- The PowerShell launcher defaults `WorkspacePath` to the current shell directory so DB Craft opens

The line describes launcher behavior that passes the current workspace path to DB Craft. It confirms PowerShell launcher use and local workspace exposure to the launched app.

Hoch

SKILL.md:25

Generic API/secret keys

4. If the user needs AI table generation, confirm `OPENAI_API_KEY` is available in the current envir

The skill tells the agent to confirm whether OPENAI_API_KEY is available. Checking a secret-bearing environment variable is legitimate for AI use but remains sensitive.

Hoch

SKILL.md:79

Generic API/secret keys

- Prefer the API key saved in `Settings -> AI Config`; fall back to the server environment variable

The skill states that DB Craft falls back to the server environment variable OPENAI_API_KEY. This is direct credential handling and should require careful disclosure and logging controls.

Mittel

SKILL.md:21

Ruby/shell backtick execution

- If it is not up, run `scripts/launch-dbdesigner.ps1` to start the local server, then tell the user

The Markdown backticks are not Ruby execution, but the instruction tells the agent to run scripts/launch-dbdesigner.ps1. That is real external command execution.

Risikofaktoren

⚙️ Externe Befehle (37)

🔑 Umgebungsvariablen (4)

references/install-prerequisites.md:48 references/usage.md:87 SKILL.md:25 SKILL.md:79

🌐 Netzwerkzugriff (10)

scripts/launch-dbdesigner.ps1:36 scripts/launch-dbdesigner.ps1:3 SKILL.md:19 SKILL.md:23 SKILL.md:37 SKILL.md:45 SKILL.md:19 SKILL.md:23 SKILL.md:37 SKILL.md:45

Erkannte Muster

Network reconnaissance

Geprüft von: codex Audit-Verlauf anzeigen →

Diesen Bericht teilen & zitieren

Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.

Versionsbericht öffnen

Berichtslink kopieren

https://skillstore.io/skills/laozhu001-dbcraft/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown-Badge

[![Skillstore security assessment](https://skillstore.io/badges/skills/laozhu001-dbcraft/security.svg)](https://skillstore.io/skills/laozhu001-dbcraft?utm_source=security_passport_badge)

HTML-Badge

<a href="https://skillstore.io/skills/laozhu001-dbcraft?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/laozhu001-dbcraft/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Einbettungskarte

<iframe src="https://skillstore.io/embed/skills/laozhu001-dbcraft.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Wissenschaftliche Zitate (APA · BibTeX · CFF)

APA-Zitat

laozhu001. (2026). dbcraft security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/laozhu001-dbcraft/audits/4

BibTeX-Zitat

@techreport{laozhu001-laozhu001-dbcraft-2026,
  author = {laozhu001},
  title = {dbcraft security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/laozhu001-dbcraft/audits/4},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "dbcraft security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
  - name: "laozhu001"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/laozhu001-dbcraft/audits/4"
identifiers:
  - type: other
    value: "skillstore:laozhu001-dbcraft:audit:4"
    description: "Skillstore immutable audit report identifier"

Skillstore-Score

Warum dieser Score Evidenzvertrauen: Mittel

Architektur

Wartbarkeit

Inhalt

Gemeinschaft

Spezifikationskonformität

Was Sie erstellen können

Neue Service-Tabellen planen

Erstellen Sie ein visuelles Modell für einen neuen Service, validieren Sie die Tabellenstruktur und exportieren Sie SQL für die Implementierungsprüfung.

Anforderungen in Modelle umwandeln

Wandeln Sie Produktanforderungen oder Screenshots in Tabellen um, die Frontend-Datenanforderungen mit Backend-Speicherung abstimmen.

Schema-Handoffs überprüfen

Prüfen Sie Beziehungen, generierte Tabellen und exportiertes SQL, bevor ein separater Migrations-Workflow Änderungen anwendet.

Diese Prompts ausprobieren

Ein neues Modell öffnen

Öffne DB Craft und erstelle ein MySQL 8-Modell für ein Studentenverwaltungssystem. Füge Tabellen für Studenten, Klassen und Lehrer hinzu.

Vorhandenes SQL importieren

Öffne DB Craft und importiere meine vorhandenen Tabellendefinitionen in das aktuelle Workspace-Modell. Validiere die Struktur und organisiere das Diagramm.

Tabellen mit KI generieren

Verwende DB Craft AI, um Tabellen für einen E-Commerce-Warenkorb-, Bestell- und Zahlungs-Workflow zu entwerfen. Speichere das Modell im aktiven Workspace.

Migrations-Handoff vorbereiten

Fahre mit dem aktuellen DB Craft-Handoff fort, aktualisiere das Modell mit den angeforderten Änderungen, validiere es, exportiere SQL und fasse Deployment-Notizen zusammen.

Bewährte Praktiken

Speichern Sie jedes Projektmodell im aktiven Workspace-Verzeichnis.
Prüfen Sie generiertes SQL, bevor Sie es in einem echten Datenbank-Workflow verwenden.
Gehen Sie sorgfältig mit persönlichen API-Schlüsseln um und verbergen Sie Secrets in Screenshots.

Vermeiden

DB Craft-Ausgaben als automatische Änderung an einer Produktionsdatenbank behandeln.
Doppelte lokale Services starten, bevor der vorhandene Service geprüft wurde.
Secrets in Schemakommentaren, KI-Prompts oder öffentlichen Screenshots platzieren.