📦

dbcraft

Name: dbcraft
Author: laozhu001

Revisão do conteúdo r1 Risco alto ⚙️ Comandos externos🔑 Variáveis de ambiente🌐 Acesso à rede

Projete Esquemas de Banco de Dados com DB Craft

O design de esquemas de banco de dados pode ficar fragmentado entre anotações, rascunhos SQL e diagramas. O DB Craft abre um estúdio visual local para modelar tabelas, validar a estrutura e exportar SQL.

Suporta: Claude Codex Code(CC)

⚠️ 38 Ruim

Pare e solicite confirmação antes de instalar.

Revise o plano e obtenha o consentimento explícito do usuário antes de alterar arquivos.

Instalar com meu Agente

Copie esta solicitação para o seu Agente. Ela inclui a página canônica do Skill e o manifesto.

Solicitação do agente

Review the Skillstore skill "dbcraft" from https://skillstore.io/skills/laozhu001-dbcraft.md and its manifest at https://skillstore.io/api/skills/laozhu001-dbcraft/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Seu Agente ainda deve apresentar o plano e solicitar qualquer confirmação exigida pela política de segurança.

Recursos legíveis por agentes

Use estes links quando um agente de IA, crawler ou script precisar de contexto limpo em vez de ler a página completa.

Detalhe em Markdown GET /skills/laozhu001-dbcraft.md manifest assinado GET /api/skills/laozhu001-dbcraft/manifest lockfile assinado GET /api/skills/laozhu001-dbcraft/lockfile

Testar

Usando "dbcraft". Crie um modelo de reservas PostgreSQL.

Resultado esperado:

O DB Craft abre o estúdio local, cria um modelo de reservas, adiciona tabelas principais, valida a estrutura e prepara SQL exportável.

Usando "dbcraft". Importe minhas definições de tabela de clientes.

Resultado esperado:

A skill importa as definições para o modelo atual, organiza o diagrama, sinaliza problemas estruturais e mantém o modelo do espaço de trabalho atualizado.

Usando "dbcraft". Prepare este esquema para revisão de migração.

Resultado esperado:

O DB Craft salva o modelo visual, exporta SQL e cria uma transferência clara para um fluxo de trabalho separado de migração ou implantação.

Auditoria de segurança

Risco alto

v4 • 05/07/2026 Abrir o relatório versionado

Most static hits are false positives from Markdown code spans, loopback URLs, local model filenames, and safety guidance. Confirmed risks remain: the skill can start a local DB Craft service through PowerShell and Node, and AI generation can use OPENAI_API_KEY. I found no prompt injection language or evidence of intentional data exfiltration.

Arquivos analisados

843

Linhas analisadas

Itens de revisão

Falsos positivos ignorados

Preocupações de segurança confirmadas (2)

Alto

SKILL.md:34-35 scripts/launch-dbdesigner.ps1:57

External Application Directory Execution

The skill treats D:\DBdesigner as the source app directory and runs server.js from that location. This executes code outside the skill package, so users must trust a separate local application install.

SKILL.md directs agents to use D:\DBdesigner, and the launcher starts node server.js from that path. The execution target is not contained in the skill package.

Médio

scripts/launch-dbdesigner.ps1:57

Network reconnaissance

$startedProcess = Start-Process -FilePath $node.Source -ArgumentList @("server.js") -WorkingDirector

The line starts node server.js from the local DBdesigner directory. It is not reconnaissance, but it is real process launch behavior from a skill-controlled script.

Itens de revisão de capacidade (10)

Estas são capacidades locais reais que podem ser esperadas para esta habilidade, portanto exigem revisão, mas não são contabilizadas como comportamento malicioso confirmado.

Alto

references/install-prerequisites.md:6

PowerShell invocation

- The skill assumes a local DB Craft app can be started from a Windows environment with PowerShell s

This documents that the skill starts a local DB Craft app through PowerShell. That is real external command behavior and requires user trust in the launcher and local app.

Alto

references/install-prerequisites.md:12

PowerShell invocation

- PowerShell must be available because the current launcher uses `launch-dbdesigner.ps1`.

PowerShell is a required runtime because the skill uses launch-dbdesigner.ps1. Running PowerShell scripts from a marketplace skill is a real command execution surface.

Alto

references/install-prerequisites.md:48

Generic API/secret keys

- AI table generation does not require a server-side `OPENAI_API_KEY` if the user configures a model

The documentation discusses a server-side OPENAI_API_KEY path for AI generation. Even if optional, this confirms that the app may rely on secret-bearing environment configuration.

Alto

references/usage.md:87

Generic API/secret keys

- Fallback key source: server env var `OPENAI_API_KEY`

The usage guide names OPENAI_API_KEY as a fallback key source. Reading API keys from the server environment is a real credential handling risk.

Alto

SKILL.md:35

Ruby/shell backtick execution

- Start the app with `node server.js` in that directory. Use the bundled PowerShell launcher for rel

The skill instructs the agent to start the app with node server.js and use the PowerShell launcher. This is real external process execution.

Alto

SKILL.md:35

PowerShell invocation

- Start the app with `node server.js` in that directory. Use the bundled PowerShell launcher for rel

The skill explicitly directs use of a PowerShell launcher to start DB Craft. That creates a real script execution surface for a marketplace skill.

Alto

SKILL.md:42

PowerShell invocation

- The PowerShell launcher defaults `WorkspacePath` to the current shell directory so DB Craft opens

The line describes launcher behavior that passes the current workspace path to DB Craft. It confirms PowerShell launcher use and local workspace exposure to the launched app.

Alto

SKILL.md:25

Generic API/secret keys

4. If the user needs AI table generation, confirm `OPENAI_API_KEY` is available in the current envir

The skill tells the agent to confirm whether OPENAI_API_KEY is available. Checking a secret-bearing environment variable is legitimate for AI use but remains sensitive.

Alto

SKILL.md:79

Generic API/secret keys

- Prefer the API key saved in `Settings -> AI Config`; fall back to the server environment variable

The skill states that DB Craft falls back to the server environment variable OPENAI_API_KEY. This is direct credential handling and should require careful disclosure and logging controls.

Médio

SKILL.md:21

Ruby/shell backtick execution

- If it is not up, run `scripts/launch-dbdesigner.ps1` to start the local server, then tell the user

The Markdown backticks are not Ruby execution, but the instruction tells the agent to run scripts/launch-dbdesigner.ps1. That is real external command execution.

Fatores de risco

⚙️ Comandos externos (37)

🔑 Variáveis de ambiente (4)

references/install-prerequisites.md:48 references/usage.md:87 SKILL.md:25 SKILL.md:79

🌐 Acesso à rede (10)

scripts/launch-dbdesigner.ps1:36 scripts/launch-dbdesigner.ps1:3 SKILL.md:19 SKILL.md:23 SKILL.md:37 SKILL.md:45 SKILL.md:19 SKILL.md:23 SKILL.md:37 SKILL.md:45

Padrões detectados

Network reconnaissance

Auditado por: codex Ver histórico de auditoria →

Compartilhar e citar este relatório

Compartilhe o relatório de avaliação versionado, o badge neutro, o cartão incorporável e as citações. A Skillstore apresenta evidências sem decidir se este Skill é seguro.

Abrir o relatório versionado

Copiar link do relatório

https://skillstore.io/skills/laozhu001-dbcraft/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Badge Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/laozhu001-dbcraft/security.svg)](https://skillstore.io/skills/laozhu001-dbcraft?utm_source=security_passport_badge)

Badge HTML

<a href="https://skillstore.io/skills/laozhu001-dbcraft?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/laozhu001-dbcraft/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Cartão incorporável

<iframe src="https://skillstore.io/embed/skills/laozhu001-dbcraft.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citações acadêmicas (APA · BibTeX · CFF)

Citação APA

laozhu001. (2026). dbcraft security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/laozhu001-dbcraft/audits/4

Citação BibTeX

@techreport{laozhu001-laozhu001-dbcraft-2026,
  author = {laozhu001},
  title = {dbcraft security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/laozhu001-dbcraft/audits/4},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "dbcraft security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
  - name: "laozhu001"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/laozhu001-dbcraft/audits/4"
identifiers:
  - type: other
    value: "skillstore:laozhu001-dbcraft:audit:4"
    description: "Skillstore immutable audit report identifier"

Pontuação do Skillstore

Por que esta pontuação Confiança das evidências: Médio

Arquitetura

Manutenibilidade

Conteúdo

Comunidade

Conformidade com a especificação

O que você pode criar

Planejar Tabelas de um Novo Serviço

Crie um modelo visual para um novo serviço, valide a estrutura das tabelas e exporte SQL para revisão de implementação.

Converter Requisitos em Modelos

Transforme requisitos de produto ou capturas de tela em tabelas que alinhem as necessidades de dados do frontend com o armazenamento do backend.

Revisar Transferências de Esquema

Inspecione relacionamentos, tabelas geradas e SQL exportado antes que um fluxo de trabalho de migração separado aplique as alterações.

Teste estes prompts

Abrir um Novo Modelo

Abra o DB Craft e crie um modelo MySQL 8 para um sistema de gestão de estudantes. Adicione tabelas de estudantes, turmas e professores.

Importar SQL Existente

Abra o DB Craft e importe minhas definições de tabela existentes para o modelo do espaço de trabalho atual. Valide a estrutura e organize o diagrama.

Gerar Tabelas com IA

Use a IA do DB Craft para projetar tabelas para um fluxo de trabalho de carrinho, pedido e pagamento de e-commerce. Salve o modelo no espaço de trabalho ativo.

Preparar Transferência de Migração

Continue a partir da transferência atual do DB Craft, atualize o modelo com as alterações solicitadas, valide-o, exporte SQL e resuma as notas de implantação.

Boas práticas

Mantenha cada modelo de projeto salvo no diretório do espaço de trabalho ativo.
Revise o SQL gerado antes de usá-lo em um fluxo de trabalho real de banco de dados.
Use chaves de API pessoais com cuidado e oculte segredos em capturas de tela.

Evitar

Tratar a saída do DB Craft como uma alteração automática de banco de dados de produção.
Iniciar serviços locais duplicados antes de verificar o serviço existente.
Colocar segredos em comentários de esquema, prompts de IA ou capturas de tela públicas.