skip-grant-tables schaltet jede Passwortprüfung aus; MYSQL_ALLOW_EMPTY_PASSWORD gibt jedem root-Zugriff. Dieser Skill findet diese und acht weitere MySQL- und MariaDB-Fehler vor dem Livegang deiner Datenbank und erklärt dir, wie du sie jeweils behebst.

Dein Agent führt einen Scanner für Optionsdateien (my.cnf, my.ini, .my.cnf, conf.d/*.cnf) aus und liest sie wie MySQL: Abschnitte einschließlich versionsgebundener Abschnitte, Gleichbehandlung von - und , Präfixe loose-, enable- und disable-, Werte in Anführungszeichen, Kommentare und Vorrang des letzten Werts. Er liest auch Docker-Compose-Dienste, die mysql-, mariadb- oder percona-Images verwenden. Er erkennt, dass ${VARIABLE}-Werte, FILE-Variablen und Platzhalter keine Geheimnisse sind. Er verbindet sich niemals mit der Datenbank. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Vorgehen. Passwörter werden niemals ausgegeben.

Was geprüft wird

BLOCK (vor der Auslieferung beheben)

• Y01: skip-grant-tables in einem Serverabschnitt oder Compose-Befehl

• Y02: ein Passwort in einer Options- oder Compose-Datei

• Y03: ein erlaubtes leeres root-Passwort

REVIEW (vor dem Release prüfen)

• Y11: aktiviertes local_infile

• Y12: leer gesetztes secure_file_priv

• Y13: zum Netzwerk offene bind-address ohne require_secure_transport

• Y14: erlaubtes TLS 1.0 oder 1.1

• Y15: aktiviertes allgemeines Abfragelog

• Y16: auf allen Host-Schnittstellen veröffentlichter Port 3306

• Y17: mysql_native_password als Standard-Plugin

Das ist enthalten

• Der Scanner (Python 3.9+, ausschließlich Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen für jede Regel

• Unsichere und sichere Beispiel-Optionsdateien und Compose-Dateien sowie der tatsächliche Scannerbericht zu den unsicheren Varianten

Grenzen

Jede Datei wird so analysiert, wie sie vorliegt: !include-Dateien, SET-PERSIST-Einstellungen, Benutzer und Berechtigungen in der Datenbank, verwaltete Dienste (RDS, Cloud SQL, PlanetScale) und Firewalls werden nicht erfasst. NOT FLAGGED ist keine Garantie.

Inhalt

Ein ZIP-Archiv mit 11 Dateien: SKILL.md, der Scanner in scripts/ (3 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (5 Beispieldateien plus report.md, die tatsächliche Scannerausgabe zum unsicheren Beispiel).

So verwendest du es: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke ihn in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/) und bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne etwas zusätzlich zu installieren. Sie lesen lediglich deine Dateien: kein Netzwerkzugriff, und es werden keine Daten versendet.