技能 scaffolding-fastapi-dapr

📦

scaffolding-fastapi-dapr

Name: scaffolding-fastapi-dapr
Author: Asmayaseen

内容修订 r2 严重 🌐 网络访问⚡ 包含脚本⚙️ 外部命令🔑 环境变量📁 文件系统访问

构建 FastAPI Dapr 后端

团队需要用于 FastAPI、SQLModel、Dapr 和 JWT 身份验证的一致后端脚手架。此技能为 API、事件、任务、数据访问和测试提供面向生产的模式。

支持: Claude Codex Code(CC)

⚠️ 38 差

请勿自动安装此 Skill。

权威策略要求在执行任何安装操作前由操作人员审查。

使用我的智能体安装

将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。

智能体请求

Review the Skillstore skill "scaffolding-fastapi-dapr" from https://skillstore.io/skills/asmayaseen-scaffolding-fastapi-dapr.md and its manifest at https://skillstore.io/api/skills/asmayaseen-scaffolding-fastapi-dapr/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

你的智能体仍应展示其计划，并按安全策略请求必要确认。

Agent 可读资源

当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。

Markdown 详情 GET /skills/asmayaseen-scaffolding-fastapi-dapr.md 已签名 manifest GET /api/skills/asmayaseen-scaffolding-fastapi-dapr/manifest 已签名 lockfile GET /api/skills/asmayaseen-scaffolding-fastapi-dapr/lockfile

测试它

正在使用“scaffolding-fastapi-dapr”。创建带有 PostgreSQL 和 JWT auth 的任务 API。

预期结果:

一个项目大纲，包括 SQLModel 实体、受保护的 CRUD 路由、数据库会话设置以及需要配置的环境值。

正在使用“scaffolding-fastapi-dapr”。为任务事件添加 Dapr pub/sub。

预期结果:

订阅路由计划、事件发布流程、CloudEvent 解包指南和本地 sidecar 测试步骤。

正在使用“scaffolding-fastapi-dapr”。为发布准备测试和日志。

预期结果:

带有请求标识符的结构化日志计划。
用于数据库支持路由的异步测试 fixture 方法。
用于可维护 API 代码的仓储和服务边界。

安全审计

严重

v9 • 2026/7/23 打开版本化报告

Most static findings are lexical false positives involving SQLModel query methods, Markdown formatting, local URLs, and documented configuration. Confirmed risks include an unpinned remote installer piped to bash and SQL query logging, while semantic review found weak JWT validation, unauthenticated Dapr handlers, forced message acknowledgement, and error leakage.

已扫描文件

1,946

分析行数

复核项

已忽略误报

已确认安全问题 (5)

严重

references/dapr-patterns.md:22

Pipe to shell pattern

curl -fsSL https://raw.githubusercontent.com/dapr/cli/master/install/install.sh | bash

The command downloads an unpinned remote script and executes it immediately with bash, enabling supply-chain code execution if the source is compromised.

高

SKILL.md:112-119 references/fastapi-patterns.md:232-238

Incomplete JWT Claim Validation

The authentication guidance omits issuer validation and disables or omits audience validation, allowing valid tokens intended for another service to be accepted.

One example performs signature decoding without issuer or audience constraints, and the detailed example explicitly disables audience verification.

高

SKILL.md:148-158 references/dapr-patterns.md:58-95

Unauthenticated Dapr Event Handlers

The examples accept event payloads and write derived records without authenticating the sidecar or authorizing the message source.

Both handler examples process request bodies without an authentication dependency, signature check, API token, or documented network restriction.

中

references/dapr-patterns.md:92-95 references/dapr-patterns.md:297-304

Errors Are Acknowledged as Successful

The Dapr guidance returns success after processing exceptions, which suppresses retries and can cause permanent event loss.

The guidance explicitly instructs handlers to return SUCCESS even when processing raises an exception.

中

references/fastapi-patterns.md:241-245 references/fastapi-patterns.md:615-616

Internal Exceptions Returned to Clients

Authentication and database examples include raw exception text in HTTP responses, which can expose implementation details and operational data.

Both examples interpolate caught exception strings directly into client-visible HTTP error details.

能力复核项 (2)

这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。

高

references/fastapi-patterns.md:88

Database connection strings

engine = create_engine(DATABASE_URL, echo=True)

The production database example enables SQLAlchemy echo logging, which can expose SQL parameters and sensitive application data in logs.

高

references/sqlmodel-patterns.md:65

Database connection strings

async_engine = create_async_engine(DATABASE_URL, echo=True)

The production database example enables SQLAlchemy echo logging, which can expose SQL parameters and sensitive application data in logs.

风险因素

🌐 网络访问 (18)

references/dapr-patterns.md:22 references/dapr-patterns.md:103 references/dapr-patterns.md:139 references/dapr-patterns.md:203 references/dapr-patterns.md:311 references/dapr-patterns.md:314 references/dapr-patterns.md:334 references/dapr-patterns.md:343 references/fastapi-patterns.md:30 references/fastapi-patterns.md:194 references/fastapi-patterns.md:281 references/fastapi-patterns.md:596 references/fastapi-patterns.md:636 references/fastapi-patterns.md:637 references/fastapi-patterns.md:640 references/production-testing.md:137 SKILL.md:166 SKILL.md:258

⚡ 包含脚本 (6)

references/fastapi-patterns.md:139 references/fastapi-patterns.md:312 references/fastapi-patterns.md:613 references/production-testing.md:226 references/sqlmodel-patterns.md:120 references/sqlmodel-patterns.md:210

⚙️ 外部命令 (32)

🔑 环境变量 (25)

📁 文件系统访问 (1)

SKILL.md:112

检测到的模式

Pipe to shell pattern

审计者: codex 查看审计历史 →

分享与引用此报告

分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。

打开版本化报告

复制报告链接

https://skillstore.io/skills/asmayaseen-scaffolding-fastapi-dapr/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/asmayaseen-scaffolding-fastapi-dapr/security.svg)](https://skillstore.io/skills/asmayaseen-scaffolding-fastapi-dapr?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/asmayaseen-scaffolding-fastapi-dapr?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/asmayaseen-scaffolding-fastapi-dapr/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/asmayaseen-scaffolding-fastapi-dapr.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学术引用 (APA · BibTeX · CFF)

APA 引用

Asmayaseen. (2026). scaffolding-fastapi-dapr security audit report (audit version 9) [Author version unspecified]. Skillstore. https://skillstore.io/skills/asmayaseen-scaffolding-fastapi-dapr/audits/9

BibTeX 引用

@techreport{asmayaseen-asmayaseen-scaffolding-fastapi-dapr-2026,
  author = {Asmayaseen},
  title = {scaffolding-fastapi-dapr security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/asmayaseen-scaffolding-fastapi-dapr/audits/9},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "scaffolding-fastapi-dapr security audit report (audit version 9)"
version: "unspecified"
type: report
authors:
  - name: "Asmayaseen"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/asmayaseen-scaffolding-fastapi-dapr/audits/9"
identifiers:
  - type: other
    value: "skillstore:asmayaseen-scaffolding-fastapi-dapr:audit:9"
    description: "Skillstore immutable audit report identifier"

Skillstore 评分

评分依据证据置信度: 中

架构

可维护性

内容

社区

规范符合性

你能构建什么

启动后端服务

创建一致的 FastAPI 服务大纲，包括模型、路由、数据库会话和本地运行步骤。

添加事件驱动工作流

为微服务规划 Dapr pub/sub 处理器、事件发布、计划任务和 sidecar 配置。

标准化生产模式

为 Python API 团队编写测试、日志、依赖注入和仓储模式文档。

试试这些提示

创建基础 API

使用 scaffolding-fastapi-dapr 概述一个 FastAPI 任务服务，包括 SQLModel 模型、CRUD 路由和本地运行步骤。

添加身份验证

使用 JWT 和 JWKS 身份验证、受保护路由以及 Swagger 授权指南扩展 FastAPI 服务。

集成 Dapr 事件

为任务生命周期事件设计 Dapr pub/sub 处理器和事件发布，包括 CloudEvent 解包和本地测试。

设计生产架构

创建生产后端计划，包括仓储层和服务层、异步测试、结构化日志以及部署配置检查。

最佳实践

固定并验证外部安装程序，而不是将远程脚本直接通过管道传入 shell。
部署前，将本地占位符 URL 和凭据替换为托管密钥。
在生产使用前，验证 JWT issuer、audience、algorithm 和密钥轮换行为。

避免

将示例数据库 URL 或测试凭据复制到已部署的配置中。
将 Dapr localhost 端点视为公网 API。
在没有记录补偿性控制措施的情况下禁用令牌 audience 检查。

常见问题

此技能帮助构建什么？

它帮助规划使用 SQLModel、PostgreSQL、Dapr 消息传递、JWT 身份验证和生产测试模式的 FastAPI 后端。

它会生成完整应用程序吗？

不会。它提供脚手架模式、示例和实现指南，开发人员必须对其进行适配和测试。

哪些工具可以使用此技能？

报告列出了与 Claude、Codex 和 Claude Code 的兼容性。

Dapr 设置默认是否可用于生产？

不是。必须针对目标环境验证 Dapr 组件、密钥、pub/sub 名称和 Jobs API 行为。

应如何处理数据库密钥？

使用环境变量或托管密钥存储，绝不要提交真实的数据库 URL 或凭据。

还需要哪些安全检查？

审查安装程序命令、JWT issuer 和 audience 验证、CORS origins、密钥处理以及特定于部署的 Dapr 设置。

开发者详情

作者

Asmayaseen

许可证

MIT

Skillstore 修订

版本提示

作者未声明版本。

仓库

https://github.com/Asmayaseen/hackathon-2/tree/main/.claude/skills/scaffolding-fastapi-dapr

引用

89edfdc710d0846129dcee6a929477b04f08052c

维护新鲜度

2026/7/24

使用量

9 次下载 · 227 次浏览

文件结构

📁 references/

📄 dapr-patterns.md

📄 fastapi-patterns.md

📄 production-testing.md

📄 sqlmodel-patterns.md

📁 scripts/

📄 verify.py

构建生产级 Go 系统

由 sickn33

Go 团队需要在并发、性能和生产架构方面获得帮助。此技能将指导 Claude、Codex 和 Claude Code 完成现代 Go 设计、测试与部署。

编码与开发查看

scaffolding-fastapi-dapr

使用我的智能体安装

Agent 可读资源

测试它

安全审计

已确认安全问题 (5)

风险因素

检测到的模式

复制报告链接

Markdown 徽章

HTML 徽章

嵌入卡片

APA 引用

BibTeX 引用

CITATION.cff

Skillstore 评分

你能构建什么

启动后端服务

添加事件驱动工作流

标准化生产模式

试试这些提示

最佳实践

避免

常见问题

开发者详情

Asmayaseen 的更多技能

tool-design

systematic-debugging

operating-production-services

styling-with-shadcn

streaming-llm-responses

context-degradation

相关技能

python-fastapi-patterns

pytest-mastery

python-fastapi-development

java-pro

saga-orchestration

golang-pro