技能 mastra

📦

mastra

Name: mastra
Author: mastra-ai

v2.0.0 内容修订 r1 高风险 ⚙️ 外部命令🌐 网络访问🔑 环境变量📁 文件系统访问

使用最新文档构建 Mastra Agents

Mastra API 变化很快，因此较旧的示例可能会导致代理和工作流无法正常运行。此技能会指导 Claude、Codex 和 Claude Code 在编写代码前验证最新文档。

支持: Claude Codex Code(CC)

⚠️ 38 差

安装前请停下并请求确认。

请审查安装计划，并在更改文件前获得用户明确同意。

使用我的智能体安装

将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。

智能体请求

Review the Skillstore skill "mastra" from https://skillstore.io/skills/mastra-ai-mastra.md and its manifest at https://skillstore.io/api/skills/mastra-ai-mastra/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

你的智能体仍应展示其计划，并按安全策略请求必要确认。

Agent 可读资源

当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。

Markdown 详情 GET /skills/mastra-ai-mastra.md 已签名 manifest GET /api/skills/mastra-ai-mastra/manifest 已签名 lockfile GET /api/skills/mastra-ai-mastra/lockfile

测试它

正在使用“mastra”。帮我为一个支持 agent 启动 Mastra 项目。

预期结果:

该技能会检查是否已安装 Mastra 包。
它会推荐 CLI 或手动设置路径。
它会将提供商密钥保留为本地占位符。

正在使用“mastra”。我的 workflow 在第一步之后失败。

预期结果:

该技能会将错误与常见 workflow 问题进行比较。
它会从已安装文档中验证当前 workflow API。
它会建议一个聚焦的修复方案和一个测试步骤。

正在使用“mastra”。将我的 Mastra 项目升级到最新版本。

预期结果:

该技能会从官方迁移指导开始。
它会检查已安装包文档以确认精确签名。
它会生成包含验证步骤的迁移计划。

安全审计

高风险

v4 • 2026/7/5 打开版本化报告

Static findings are almost entirely documentation examples, Markdown formatting, official documentation URLs, localhost references, or placeholder environment variable usage. I found no prompt injection or hidden execution logic, but the setup guide does encourage users to provide an API key to the AI agent, which is a real secret-handling risk.

已扫描文件

1,416

分析行数

复核项

已忽略误报

已确认安全问题 (1)

高

references/create-mastra.md:13-15 references/create-mastra.md:107-115

API Key Disclosure Encouraged During Automatic Setup

The setup guide offers an automatic setup option where the user gives the AI agent an API key. This can encourage users to paste real provider credentials into chat instead of storing them locally.

The wording explicitly asks for an API key for automatic setup, and later instructs creating a .env file with provider keys. This is a clear secret-handling risk, although there is no evidence of exfiltration code.

风险因素

⚙️ 外部命令 (35)

🌐 网络访问 (17)

references/common-errors.md:511 references/common-errors.md:373 references/migration-guide.md:51 references/remote-docs.md:56 references/remote-docs.md:62 references/remote-docs.md:79 references/remote-docs.md:96 references/remote-docs.md:97 references/remote-docs.md:105 references/remote-docs.md:154 references/remote-docs.md:164 references/remote-docs.md:171 SKILL.md:8 SKILL.md:40 SKILL.md:66 SKILL.md:149 SKILL.md:159

🔑 环境变量 (18)

📁 文件系统访问 (1)

references/create-mastra.md:146

审计者: codex 查看审计历史 →

分享与引用此报告

分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。

打开版本化报告

复制报告链接

https://skillstore.io/skills/mastra-ai-mastra/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/mastra-ai-mastra/security.svg)](https://skillstore.io/skills/mastra-ai-mastra?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/mastra-ai-mastra?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/mastra-ai-mastra/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/mastra-ai-mastra.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学术引用 (APA · BibTeX · CFF)

APA 引用

mastra-ai. (2026). mastra security audit report (audit version 4) [Author version 2.0.0]. Skillstore. https://skillstore.io/skills/mastra-ai-mastra/audits/4

BibTeX 引用

@techreport{mastra-ai-mastra-ai-mastra-2026,
  author = {mastra-ai},
  title = {mastra security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/mastra-ai-mastra/audits/4},
  note = {Author version 2.0.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "mastra security audit report (audit version 4)"
version: "2.0.0"
type: report
authors:
  - name: "mastra-ai"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/mastra-ai-mastra/audits/4"
identifiers:
  - type: other
    value: "skillstore:mastra-ai-mastra:audit:4"
    description: "Skillstore immutable audit report identifier"

Skillstore 评分

评分依据证据置信度: 高

架构

100

可维护性

内容

社区

规范符合性

你能构建什么

创建 Mastra 项目

使用正确的依赖项、TypeScript 设置和提供商模型格式设置新的代理项目。

修复框架错误

通过检查本地文档、当前类型定义和已知故障排查模式来诊断常见 Mastra 错误。

规划版本升级

比较当前和目标 API，查找迁移指导，并在更改代码前构建验证清单。

试试这些提示

创建第一个 agent

使用 Mastra skill 帮我创建一个新的 Mastra 项目。运行命令前先询问，并使用占位符表示密钥。

验证 API

在修改我的代码之前，使用嵌入式 Mastra 文档验证我已安装版本的 Agent 构造函数。

排查错误

使用常见错误参考和当前文档来诊断这个 Mastra 错误：[paste error]。解释可能原因和修复方法。

规划迁移

使用迁移指南、嵌入式文档和远程文档来规划 Mastra 版本升级。列出破坏性变更和验证步骤。

最佳实践

安装了 Mastra 包时，优先检查嵌入式文档。
将提供商密钥保存在本地环境文件或密钥管理器中。
在调试 API 之前验证 TypeScript 设置和包版本。

避免

不要依赖模型记忆来获取 Mastra API 签名。
不要在聊天中粘贴真实 API 密钥用于项目设置。
不要在未检查版本的情况下，将远程文档与较旧的已安装包混用。

常见问题

这个技能有什么帮助？

它帮助 AI 助手使用最新文档构建、调试和迁移 Mastra TypeScript 代理项目。

为什么它优先使用嵌入式文档？

嵌入式文档与已安装的软件包版本匹配，因此可以减少由过时示例导致的错误。

它能创建完整的 Mastra 项目吗？

它可以指导项目创建和文件结构，但命令执行仍应由用户批准。

它支持 Claude、Codex 和 Claude Code 吗？

是的。该技能元数据将 Claude、Codex 和 Claude Code 列为受支持工具。

我应该向助手提供真实 API 密钥吗？

不。请在生成的文件中使用占位符，然后在本地或通过密钥管理器添加真实密钥。

什么时候应该使用远程文档？

当缺少本地包，或需要当前概念性指导时，请使用远程文档。

开发者详情

作者

mastra-ai

许可证

Apache-2.0

作者版本

v2.0.0

Skillstore 修订

仓库

https://github.com/mastra-ai/skills/tree/main/skills/mastra/

引用

62e2a730c5cd74eab4c7164309d810de660fcea3

维护新鲜度

2026/7/18

使用量

7 次下载 · 115 次浏览

文件结构

📁 references/

📄 common-errors.md

📄 create-mastra.md

📄 embedded-docs.md

📄 migration-guide.md

📄 remote-docs.md

📄 SKILL.md

查看全部

📦

playwright-testing

提升 Playwright 测试覆盖率

由 C0ntr0lledCha0s

当配置、定位器和 fixtures 不一致时，Playwright 测试套件可能会变得不稳定。此技能提供可靠浏览器测试、调试和可复用页面对象的实用模式。

编码与开发查看

📦

nestjs-code-audit

Audit NestJS Code with Evidence-Backed Findings

由 amirtaherkhani

NestJS repositories can hide boundary flaws and runtime risks that lint results alone cannot reveal. This skill combines local evidence collection and semantic review into one prioritized report.

编码与开发查看

📦