技能 dbcraft
📦
dbcraft
內容修訂 r1 高風險 ⚙️ 外部命令🔑 環境變數🌐 網路存取
使用 DB Craft 設計資料庫結構描述
資料庫結構描述設計可能分散在筆記、SQL 草稿和圖表之間。DB Craft 會開啟本機視覺化工作室，用於建模資料表、驗證結構並匯出 SQL。
支援: Claude Codex Code(CC)
安裝前請停止並請求確認。
請審查安裝計畫，並在變更檔案前取得使用者明確同意。
使用我的智慧代理安裝
將此請求複製給你的智慧代理，其中包含權威 Skill 頁面和清單。
智能體請求
Review the Skillstore skill "dbcraft" from https://skillstore.io/skills/laozhu001-dbcraft.md and its manifest at https://skillstore.io/api/skills/laozhu001-dbcraft/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.你的智慧代理仍應顯示其計畫，並依安全政策請求必要確認。
Agent 可讀資源
當 AI Agent、爬蟲或腳本需要乾淨脈絡、而不是讀取完整頁面時，請使用這些連結。
測試它
正在使用「dbcraft」。 建立 PostgreSQL 預訂模型。
預期結果:
DB Craft 會開啟本機工作室、建立預訂模型、新增核心資料表、驗證結構，並準備可匯出的 SQL。
正在使用「dbcraft」。 匯入我的客戶資料表定義。
預期結果:
此技能會將定義匯入目前模型、整理圖表、標示結構問題，並保持工作區模型更新。
正在使用「dbcraft」。 準備此結構描述以供遷移審查。
預期結果:
DB Craft 會儲存視覺化模型、匯出 SQL，並為獨立的遷移或部署工作流程建立清楚的交接內容。
安全審計
高風險v4 • 2026/7/5 開啟版本化報告
Most static hits are false positives from Markdown code spans, loopback URLs, local model filenames, and safety guidance. Confirmed risks remain: the skill can start a local DB Craft service through PowerShell and Node, and AI generation can use OPENAI_API_KEY. I found no prompt injection language or evidence of intentional data exfiltration.
10
已掃描檔案
843
分析行數
10
複核項目
0
已忽略的誤報
已確認的安全問題 (2)
高
External Application Directory Execution
The skill treats D:\DBdesigner as the source app directory and runs server.js from that location. This executes code outside the skill package, so users must trust a separate local application install.
SKILL.md directs agents to use D:\DBdesigner, and the launcher starts node server.js from that path. The execution target is not contained in the skill package.
中
Network reconnaissance
$startedProcess = Start-Process -FilePath $node.Source -ArgumentList @("server.js") -WorkingDirector
The line starts node server.js from the local DBdesigner directory. It is not reconnaissance, but it is real process launch behavior from a skill-controlled script.
能力複核項目 (10)
這些是真實的本機能力，對此技能而言可能是預期行為，因此需要複核，但不會按已確認的惡意行為計分。
高
PowerShell invocation
- The skill assumes a local DB Craft app can be started from a Windows environment with PowerShell s
This documents that the skill starts a local DB Craft app through PowerShell. That is real external command behavior and requires user trust in the launcher and local app.
高
PowerShell invocation
- PowerShell must be available because the current launcher uses `launch-dbdesigner.ps1`.
PowerShell is a required runtime because the skill uses launch-dbdesigner.ps1. Running PowerShell scripts from a marketplace skill is a real command execution surface.
高
Generic API/secret keys
- AI table generation does not require a server-side `OPENAI_API_KEY` if the user configures a model
The documentation discusses a server-side OPENAI_API_KEY path for AI generation. Even if optional, this confirms that the app may rely on secret-bearing environment configuration.
高
Generic API/secret keys
- Fallback key source: server env var `OPENAI_API_KEY`
The usage guide names OPENAI_API_KEY as a fallback key source. Reading API keys from the server environment is a real credential handling risk.
高
Ruby/shell backtick execution
- Start the app with `node server.js` in that directory. Use the bundled PowerShell launcher for rel
The skill instructs the agent to start the app with node server.js and use the PowerShell launcher. This is real external process execution.
高
PowerShell invocation
- Start the app with `node server.js` in that directory. Use the bundled PowerShell launcher for rel
The skill explicitly directs use of a PowerShell launcher to start DB Craft. That creates a real script execution surface for a marketplace skill.
高
PowerShell invocation
- The PowerShell launcher defaults `WorkspacePath` to the current shell directory so DB Craft opens
The line describes launcher behavior that passes the current workspace path to DB Craft. It confirms PowerShell launcher use and local workspace exposure to the launched app.
高
Generic API/secret keys
4. If the user needs AI table generation, confirm `OPENAI_API_KEY` is available in the current envir
The skill tells the agent to confirm whether OPENAI_API_KEY is available. Checking a secret-bearing environment variable is legitimate for AI use but remains sensitive.
高
Generic API/secret keys
- Prefer the API key saved in `Settings -> AI Config`; fall back to the server environment variable
The skill states that DB Craft falls back to the server environment variable OPENAI_API_KEY. This is direct credential handling and should require careful disclosure and logging controls.
中
Ruby/shell backtick execution
- If it is not up, run `scripts/launch-dbdesigner.ps1` to start the local server, then tell the user
The Markdown backticks are not Ruby execution, but the instruction tells the agent to run scripts/launch-dbdesigner.ps1. That is real external command execution.
風險因素
⚙️ 外部命令 (37)
references/install-prerequisites.md:6 references/install-prerequisites.md:12 scripts/launch-dbdesigner.ps1:64 SKILL.md:15 SKILL.md:19 SKILL.md:21 SKILL.md:23 SKILL.md:25 SKILL.md:34 SKILL.md:35 SKILL.md:37 SKILL.md:42 SKILL.md:44 SKILL.md:45 SKILL.md:46 SKILL.md:47 SKILL.md:52 SKILL.md:53 SKILL.md:54 SKILL.md:58 SKILL.md:61 SKILL.md:63 SKILL.md:78 SKILL.md:79 SKILL.md:80 SKILL.md:96 SKILL.md:97 SKILL.md:98 SKILL.md:99 SKILL.md:100 SKILL.md:101 SKILL.md:102 SKILL.md:103 SKILL.md:107 SKILL.md:109 SKILL.md:35 SKILL.md:42
偵測到的模式
Network reconnaissance
審計單位: codex 檢視審計紀錄 →
分享與引用此報告
分享版本化評估報告、中性徽章、嵌入卡片與引用。Skillstore 只報告證據，不判斷該 Skill 是否安全。
複製報告連結
https://skillstore.io/skills/laozhu001-dbcraft/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/laozhu001-dbcraft?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/laozhu001-dbcraft?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/laozhu001-dbcraft/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/laozhu001-dbcraft.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>學術引用 (APA · BibTeX · CFF)
APA 引用
laozhu001. (2026). dbcraft security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/laozhu001-dbcraft/audits/4BibTeX 引用
@techreport{laozhu001-laozhu001-dbcraft-2026,
author = {laozhu001},
title = {dbcraft security audit report (audit version 4)},
institution = {Skillstore},
year = {2026},
number = {4},
url = {https://skillstore.io/skills/laozhu001-dbcraft/audits/4},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "dbcraft security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
- name: "laozhu001"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/laozhu001-dbcraft/audits/4"
identifiers:
- type: other
value: "skillstore:laozhu001-dbcraft:audit:4"
description: "Skillstore immutable audit report identifier"
Skillstore 評分
評分依據 證據置信度: 中 68
架構
85
可維護性
87
內容
69
社群
83
規範符合度
你可以打造什麼
規劃新服務資料表
為新服務建立視覺化模型、驗證資料表結構，並匯出 SQL 供實作審查。
將需求轉換為模型
將產品需求或螢幕截圖轉換為資料表，使前端資料需求與後端儲存保持一致。
審查結構描述交接
在獨立的遷移工作流程套用變更前，檢查關聯、生成的資料表和匯出的 SQL。
試試這些提示
開啟新模型
開啟 DB Craft，並為學生管理系統建立 MySQL 8 模型。新增 student、class 和 teacher 資料表。
匯入現有 SQL
開啟 DB Craft，並將我現有的資料表定義匯入目前工作區模型。驗證結構並整理圖表。
使用 AI 生成資料表
使用 DB Craft AI 為電子商務購物車、訂單和付款工作流程設計資料表。將模型儲存在作用中的工作區。
準備遷移交接
從目前的 DB Craft handoff 繼續，依照要求的變更更新模型、驗證模型、匯出 SQL，並摘要部署注意事項。
最佳實務
- 將每個專案模型儲存在作用中的工作區目錄中。
- 在真實資料庫工作流程中使用前，先審查生成的 SQL。
- 謹慎使用個人 API 金鑰，並在螢幕截圖中隱藏機密。
避免
- 將 DB Craft 輸出視為自動化的生產資料庫變更。
- 在檢查現有服務前啟動重複的本機服務。
- 將機密放在結構描述註解、AI 提示或公開螢幕截圖中。
常見問題
什麼是 DB Craft？
DB Craft 是用於設計資料庫結構描述並匯出 SQL 的本機視覺化工作室。
支援哪些資料庫？
它支援 MySQL 8、PostgreSQL 14、SQLite 和 MSSQL 模型工作流程。
它會變更即時資料庫嗎？
不會。公開技能預設只到模型、SQL 匯出和交接為止。
DB Craft 是雲端服務嗎？
不是。它會開啟本機應用程式，並將模型成品寫入作用中的工作區。
AI 生成會將資料傳送到我的機器外部嗎？
會。AI Build 可能會將提示傳送給使用者設定的模型提供者。
需要哪些本機需求？
目前套件需要 Windows、Node.js、PowerShell、瀏覽器，以及本機 DB Craft 應用程式檔案。
開發者詳細資訊
作者
laozhu001授權
MIT
Skillstore 修訂
r1
版本提示
作者未聲明版本。
引用
a25199bc7d6b82598536822d1738eb5d5f54025b
維護新鮮度
2026/7/26
使用量
7 次下載 · 122 次瀏覽