用途:对 Convex 函数进行结构化审查与审计,覆盖安全、授权、验证器、性能与 schema 设计。
主要能力与检查流程:第一轮安全,确认所有公开函数检查 ctx.auth.getUserIdentity(),读写前验证资源归属,不信任客户端传入的 user ID,定时函数指向 internal.* 而非 api.*。第二轮性能,确认数据库查询不使用 .filter()(需用 withIndex),外键字段均有索引,查询处理器中不使用 Date.now(),无界查询不使用 .collect()。第三轮代码质量,确认每个公开函数都有参数与返回值验证器,无 any 类型,promise 已 await,文档内数组有界(少于 8192 个元素)。
使用方式:将本技能用于审查或审计 convex/ 目录中的 Convex 代码,输出按严重程度分组的发现,并解释每个问题的影响与修复建议。规则上,缺失鉴权的公开 mutation 记为 Critical,数据库查询使用 .filter()、查询处理器使用 Date.now()、缺失参数或返回值验证器、调度到 api.* 均记为 Important。始终说明为何需要修改,而非只给出改法。
限制:资料未提供安装命令、具体调用方式、收费与平台信息。