SuperAPI AI 工具集

convex-reviewer

安全与审计

查看项目

更新于 10-16 03:06

技能介绍

用途:对 convex/ 目录中的 Convex 代码做结构化审查,覆盖安全、授权、validators、性能与 schema 设计,并按 Critical / Important / Suggestion 三级给出问题与修复建议。

主要能力(分三遍检查):安全遍——检查公开函数是否调用 ctx.auth.getUserIdentity()、读写前是否校验资源归属、是否信任客户端传入的 user ID、scheduled 函数是否指向 internal.* 而非 api.*;性能遍——检查数据库查询是否使用 .filter()(要求用 withIndex)、外键字段是否建索引、查询处理器是否使用 Date.now()、是否对无界查询使用 .collect();代码质量遍——检查每个公开函数是否带 args 与 returns validators、是否存在 any 类型、promise 是否 await、文档内数组是否有界(<8192 元素)。

规则:缺少授权检查标记为 Critical;数据库查询使用 .filter() 标记为 Important(全表扫描);查询处理器中使用 Date.now() 标记为 Important(破坏响应性);缺少 args 或 returns validators 标记为 Important;调度到 api.* 而非 internal.* 标记为 Important。始终解释为何需要修改,而不只是说明改什么。

报告按严重程度分组,说明每个问题的影响并给出修复建议。

限制:资料未提供价格、平台支持范围或具体安装与调用命令,暂未提供。