📦

dbcraft

Name: dbcraft
Author: laozhu001

Ревизия содержимого r1 Высокий риск ⚙️ Внешние команды🔑 Переменные окружения🌐 Доступ к сети

Проектирование схем баз данных с DB Craft

Проектирование схем баз данных может распадаться между заметками, черновиками SQL и диаграммами. DB Craft открывает локальную визуальную студию для моделирования таблиц, проверки структуры и экспорта SQL.

Поддерживает: Claude Codex Code(CC)

⚠️ 38 Плохо

Остановитесь и запросите подтверждение перед установкой.

Проверьте план и получите явное согласие пользователя перед изменением файлов.

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "dbcraft" from https://skillstore.io/skills/laozhu001-dbcraft.md and its manifest at https://skillstore.io/api/skills/laozhu001-dbcraft/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/laozhu001-dbcraft.md Подписанный manifest GET /api/skills/laozhu001-dbcraft/manifest Подписанный lockfile GET /api/skills/laozhu001-dbcraft/lockfile

Протестировать

Использование «dbcraft». Create a PostgreSQL booking model.

Ожидаемый результат:

DB Craft открывает локальную студию, создает модель бронирований, добавляет основные таблицы, проверяет структуру и подготавливает SQL для экспорта.

Использование «dbcraft». Import my customer table definitions.

Ожидаемый результат:

Skill импортирует определения в текущую модель, упорядочивает диаграмму, отмечает проблемы структуры и поддерживает модель рабочего пространства в актуальном состоянии.

Использование «dbcraft». Prepare this schema for migration review.

Ожидаемый результат:

DB Craft сохраняет визуальную модель, экспортирует SQL и создает понятную передачу для отдельного рабочего процесса миграции или развертывания.

Аудит безопасности

Высокий риск

v4 • 05.07.2026 Открыть версионный отчет

Most static hits are false positives from Markdown code spans, loopback URLs, local model filenames, and safety guidance. Confirmed risks remain: the skill can start a local DB Craft service through PowerShell and Node, and AI generation can use OPENAI_API_KEY. I found no prompt injection language or evidence of intentional data exfiltration.

Просканировано файлов

843

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (2)

Высокий

SKILL.md:34-35 scripts/launch-dbdesigner.ps1:57

External Application Directory Execution

The skill treats D:\DBdesigner as the source app directory and runs server.js from that location. This executes code outside the skill package, so users must trust a separate local application install.

SKILL.md directs agents to use D:\DBdesigner, and the launcher starts node server.js from that path. The execution target is not contained in the skill package.

Средний

scripts/launch-dbdesigner.ps1:57

Network reconnaissance

$startedProcess = Start-Process -FilePath $node.Source -ArgumentList @("server.js") -WorkingDirector

The line starts node server.js from the local DBdesigner directory. It is not reconnaissance, but it is real process launch behavior from a skill-controlled script.

Пункты проверки возможностей (10)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Высокий

references/install-prerequisites.md:6

PowerShell invocation

- The skill assumes a local DB Craft app can be started from a Windows environment with PowerShell s

This documents that the skill starts a local DB Craft app through PowerShell. That is real external command behavior and requires user trust in the launcher and local app.

Высокий

references/install-prerequisites.md:12

PowerShell invocation

- PowerShell must be available because the current launcher uses `launch-dbdesigner.ps1`.

PowerShell is a required runtime because the skill uses launch-dbdesigner.ps1. Running PowerShell scripts from a marketplace skill is a real command execution surface.

Высокий

references/install-prerequisites.md:48

Generic API/secret keys

- AI table generation does not require a server-side `OPENAI_API_KEY` if the user configures a model

The documentation discusses a server-side OPENAI_API_KEY path for AI generation. Even if optional, this confirms that the app may rely on secret-bearing environment configuration.

Высокий

references/usage.md:87

Generic API/secret keys

- Fallback key source: server env var `OPENAI_API_KEY`

The usage guide names OPENAI_API_KEY as a fallback key source. Reading API keys from the server environment is a real credential handling risk.

Высокий

SKILL.md:35

Ruby/shell backtick execution

- Start the app with `node server.js` in that directory. Use the bundled PowerShell launcher for rel

The skill instructs the agent to start the app with node server.js and use the PowerShell launcher. This is real external process execution.

Высокий

SKILL.md:35

PowerShell invocation

- Start the app with `node server.js` in that directory. Use the bundled PowerShell launcher for rel

The skill explicitly directs use of a PowerShell launcher to start DB Craft. That creates a real script execution surface for a marketplace skill.

Высокий

SKILL.md:42

PowerShell invocation

- The PowerShell launcher defaults `WorkspacePath` to the current shell directory so DB Craft opens

The line describes launcher behavior that passes the current workspace path to DB Craft. It confirms PowerShell launcher use and local workspace exposure to the launched app.

Высокий

SKILL.md:25

Generic API/secret keys

4. If the user needs AI table generation, confirm `OPENAI_API_KEY` is available in the current envir

The skill tells the agent to confirm whether OPENAI_API_KEY is available. Checking a secret-bearing environment variable is legitimate for AI use but remains sensitive.

Высокий

SKILL.md:79

Generic API/secret keys

- Prefer the API key saved in `Settings -> AI Config`; fall back to the server environment variable

The skill states that DB Craft falls back to the server environment variable OPENAI_API_KEY. This is direct credential handling and should require careful disclosure and logging controls.

Средний

SKILL.md:21

Ruby/shell backtick execution

- If it is not up, run `scripts/launch-dbdesigner.ps1` to start the local server, then tell the user

The Markdown backticks are not Ruby execution, but the instruction tells the agent to run scripts/launch-dbdesigner.ps1. That is real external command execution.

Факторы риска

⚙️ Внешние команды (37)

🔑 Переменные окружения (4)

references/install-prerequisites.md:48 references/usage.md:87 SKILL.md:25 SKILL.md:79

🌐 Доступ к сети (10)

scripts/launch-dbdesigner.ps1:36 scripts/launch-dbdesigner.ps1:3 SKILL.md:19 SKILL.md:23 SKILL.md:37 SKILL.md:45 SKILL.md:19 SKILL.md:23 SKILL.md:37 SKILL.md:45

Обнаруженные паттерны

Network reconnaissance

Аудитор:: codex Посмотреть историю аудитов →

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/laozhu001-dbcraft/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/laozhu001-dbcraft/security.svg)](https://skillstore.io/skills/laozhu001-dbcraft?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/laozhu001-dbcraft?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/laozhu001-dbcraft/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/laozhu001-dbcraft.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

laozhu001. (2026). dbcraft security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/laozhu001-dbcraft/audits/4

Цитата BibTeX

@techreport{laozhu001-laozhu001-dbcraft-2026,
  author = {laozhu001},
  title = {dbcraft security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/laozhu001-dbcraft/audits/4},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "dbcraft security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
  - name: "laozhu001"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/laozhu001-dbcraft/audits/4"
identifiers:
  - type: other
    value: "skillstore:laozhu001-dbcraft:audit:4"
    description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Средний

Архитектура

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Планирование таблиц нового сервиса

Создайте визуальную модель для нового сервиса, проверьте структуру таблиц и экспортируйте SQL для ревью реализации.

Преобразование требований в модели

Преобразуйте требования продукта или скриншоты в таблицы, которые согласуют потребности frontend в данных с backend-хранилищем.

Ревью передачи схем

Проверьте связи, сгенерированные таблицы и экспортированный SQL перед тем, как отдельный рабочий процесс миграции применит изменения.

Попробуйте эти промпты

Открыть новую модель

Open DB Craft and create a MySQL 8 model for a student management system. Add student, class, and teacher tables.

Импортировать существующий SQL

Open DB Craft and import my existing table definitions into the current workspace model. Validate the structure and organize the diagram.

Сгенерировать таблицы с AI

Use DB Craft AI to design tables for an e-commerce cart, order, and payment workflow. Save the model in the active workspace.

Подготовить передачу для миграции

Continue from the current DB Craft handoff, update the model with the requested changes, validate it, export SQL, and summarize deployment notes.

Лучшие практики

Сохраняйте модель каждого проекта в активном каталоге рабочего пространства.
Проверяйте сгенерированный SQL перед использованием в реальном рабочем процессе базы данных.
Осторожно используйте личные API-ключи и скрывайте секреты на скриншотах.

Избегать

Воспринимать вывод DB Craft как автоматическое изменение production-базы данных.
Запускать дублирующиеся локальные сервисы до проверки уже существующего сервиса.
Размещать секреты в комментариях схемы, AI prompts или публичных скриншотах.