Одна строка "host all all 0.0.0.0/0 trust" в pg_hba.conf или POSTGRES_HOST_AUTH_METHOD=trust в Docker позволяет любому, кто может подключиться к порту, войти суперпользователем без пароля. Этот навык выявляет эту и ещё девять ошибок конфигурации PostgreSQL до запуска сервера и объясняет, как исправить каждую из них.

Ваш агент запускает сканер для pg_hba.conf, postgresql.conf, postgresql.auto.conf, а также файлов Docker Compose, Dockerfile и .env, в которых упоминается postgres. Сканер читает строки pg_hba.conf так же, как PostgreSQL (типы, адреса CIDR или адреса с маской сети, методы, кавычки, комментарии), и учитывает настройки, для которых действует последнее заданное значение. Он никогда не подключается к PostgreSQL. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного решения.

Что проверяется

БЛОКИРОВКА (исправить до выпуска)

• G01: вход по сети через trust или POSTGRES_HOST_AUTH_METHOD=trust

• G02: вход с передачей пароля открытым текстом без SSL

• G03: отключены fsync или full_page_writes (повреждение данных после сбоя)

ПРОВЕРКА (проверить до выпуска)

• G11: trust в правилах для локального сокета и 127.0.0.1

• G12: правила для любых адресов (0.0.0.0/0, ::/0, all)

• G13: открытый listen_addresses при отключённом ssl

• G14: пароли MD5

• G15: log_statement, записывающий пароли в журналы

• G16: разрешены TLS 1.0 или 1.1

• G17: суперпользователю postgres разрешён вход по сети

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с объяснением причин и более безопасным решением для каждого правила

• Примеры конфигураций с рисками и безопасные варианты (pg_hba.conf, postgresql.conf, docker-compose.yml), а также реальный отчёт сканера по примерам с рисками

Ограничения

Сканер читает каждый файл в его текущем виде: подключаемые файлы, настройки ALTER SYSTEM на работающем сервере, межсетевые экраны и управляемые сервисы (RDS, Cloud SQL, Supabase) ему недоступны. Статус NOT FLAGGED не даёт гарантий.

Содержимое

Один ZIP-архив с 11 файлами: SKILL.md, сканер в scripts/ (2 файла Python), references/rules.md (каждое правило с объяснением причин и более безопасным решением) и examples/ (6 файлов примеров плюс report.md, реальный отчёт сканера по примеру с рисками).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте её в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить проект. Скрипты также можно запускать отдельно с Python 3.9 или новее, ничего дополнительно устанавливать не нужно. Они только читают ваши файлы: не обращаются к сети и ничего никуда не отправляют.