這款開源工具會評估在實時的 Postgres 數據庫中，哪些角色可以存取哪些資料行，幫助在 CI 中發現資料行級的安全和權限錯誤，避免它們被代理和 AI 應用構建工具帶入發布版本。
舊金山，2026年11月6日 / PRNewswire / -- Constructive （ constructive.io ）今天宣布公開發布 Safegres，這是一種用於 Postgres 安全的开源驗證工具。 Constructive 是一家為代理提供“默認安全” Postgres 基礎設施的公司。 Safegres 是 Constructive 推出的一種工具，可對實時 PostgreSQL 數據庫中的行級安全（ RLS ）策略和授權進行只讀審計，並報告哪些角色可以訪問哪些行。它不會接觸應用數據，也不會更改任何內容，因此團隊可以將其運行在生產副本上，或在每次數據庫變更時自動運行。
2026年10月30日，Supabase 停止了自動授予新表格的訪問權限。授權決定了某個角色是否可以訪問一張表格，而 RLS 则決定該角色能夠看到哪些數據行。獨立研究顯示，這兩個環節都非常重要。11月2日，漢堡安全公司 Crissy Field 與德國報紙 Handelsblatt 共同掃描了159,041個由 Lovable 构建的项目，這是一種用於構建 AI 應用的工具。他們發現有24,664個網站的 Postgres 數據庫正在向匿名訪客提供數據記錄，其中7,403個數據庫暴露了電子郵件地址。 UpGuard 發現，在約30萬個域名中，有16,326個數據庫暴露了可讀的表格； Shippable 發現，在4,994個由 Bolt.new 构建的项目中，有25.6%的表格對公眾開放； CVE-2025-48757 则發現在170個 Lovable 應用中存在303個暴露的端點。這些都是 AI 工具可能出現的大規模配置錯誤，而授權和 RLS 檢查可以發現這些問題。 Databricks 表示，如今有80%的數據庫是通過代理來创建的，而 Supabase 则稱其上70%的新數據庫是由代理創建的，因此這些檢查不能依賴於某個人來記得去運行。 Safegres 會在每次變更時，在任何 Postgres 上同時檢查授權和 RLS，為構建 AI 以及 “vibe-coded” 應用的團隊提供一種在發布前驗證數據庫安全性的方法。
Safegres 建立在 Constructive 开源的 “Postgres 版 Babel” 之上——此处的 Babel 指的是那种能够让程序解析并重写 JavaScript 的工具。該工具包能將 SQL 轉換為程序可讀取、檢查和重寫的結構化形式。該工具包基於 PostgreSQL 自身的语法，也就是數據庫本身使用的同一套規則，并封裝在 Constructive 近十年的工具之上，因此程序可以像數據庫實際運行一樣精確地檢查和重寫 SQL。Constructive 的 Postgres 解析器每月下載量超過900萬次，其解析器工具已經被用於1,100多個公開的 GitHub 項目，包括 Canva、Gel Data（已被 Vercel 收購）、Neon 和 Supabase 團隊的項目。
Constructive 的創始人兼執行長 Dan Lynch 表示：「我們工具存在的目的，就是讓整類 Postgres 漏洞無法被公開，在它們變成 CVE 之前就捕捉到諸如缺失授權和開放 RLS 策略之類的錯誤。 Safegres 背後的同一開源解析器，已經運行在 Canva 和 Supabase 團隊構建的工具中。隨著 AI 构建應用中的安全事件不斷增加，這些檢查不能是可選項。它們應該進入開發流程，成為開發者每次修改代碼時都會運行的自動化檢查，并在每次提交和遷移中針對真正的 Postgres 進行測試。」
Safegres的功能
- 兩個獨立的評分——30多項安全檢查和10多項性能檢查，分別進行評分。
- 結果確定性——沒有 AI 裁判。同一個數據庫始終得到相同的評分，每份報告都有「指紋」。
- 經過答案庫測試——包含已知缺陷的樣例數據庫，用於驗證 Safegres 能夠找到該發現的問題，而不会誤報不應該發現的問題。
- 專為 CI / CD 設計——可在持續整合和持續交付（CI / CD）中運行，這些自動化檢查會在開發者每次提出變更時執行，包括 GitHub 下載請求，並且只標記該變更引入的問題。
- 適配團隊常用技術架構——為 Supabase、PostgREST、Hasura、Graphile 和 Constructive 提供現成配置。Supabase 團隊可以透過它來審計自己的 RLS 策略和授權。
Constructive聯合創始人兼基礎設施負責人Anmol Yadav表示：「隨著行業現在圍繞軟件工廠展開，每個工廠都需要在每個工作崗位上進行質量控制。Dan和我在多年來一直朝這個方向努力，從可複製部署、聲明式配置，到將基礎設施本身當作抽象語法樹（AST）來處理。Safegres將數據庫安全放在同一條裝配線上，因此無論變更是由人還是代理編寫，它都能在CI／CD中隨每次提交運行。」
面向編寫 Postgres 的代理
樣本數據庫也可用來作為 AI 代理的測試：先給代理一個有缺陷的數據庫，然後重新審計，查看它在修復問題的同時是否沒有引入新的問題。
Lynch 說：「我們注意到，當 Safegres 在 CI 和 GitHub 的檢查中運行時，能夠看到結果的編碼代理會捕捉到安全性和性能評分的變化，並自行修復問題。這讓驗證器成為了構建評估和自我改進代理的反饋循環。」
可用性
Safegres 采用 MIT 许可证開源，可與 Supabase 專案、任何 PostgreSQL 資料庫以及常見的 CI 流水線配合使用。
Safegres 是 Constructive 更大開源工具包的一部分。pgpm 將 Postgres 的代碼組織成包，pgsql-test 在真實數據庫上進行測試，而 Safegres 則會檢查每次變更中的安全與性能錯誤。Constructive 表示，這些工具合在一起覆蓋了完整的開發流程，正如 PostgreSQL.org 所描述的那样。
欲了解更多信息，请訪問 constructive.io。
關於 Constructive
Constructive 构建面向代理的基礎設施，將模塊化的開源 Postgres 與預設安全的數據庫架構結合起來，為 AI 時代進行設計。隨著代理開始生成並運行應用程式，Constructive 將信任、存取控制及數據完整性直接內置於數據庫之中。其平台覆蓋整個應用程式堆棧，從數據庫模式到 API，再至前端整合，採用編譯器驅動的方式端到端生成並強制執行系統。這一統一模型以單一、可組合的基礎取代了碎片化的工具，為構建安全、可用於生產的應用程式提供了支撐。Constructive 的開源 Postgres 工具已被 Canva、Gel Data（已被 Vercel 收購）、Neon 和 Supabase 團隊使用，下載量超過2.75億次，並支持近5000萬個數據庫的運行。Constructive 由 Dan Lynch 領導，他自2005年以來一直從事網站生成器的開發，並共同創辦了兩家被收購的公司 Brandcast（被 TIME 收購）和 Famo.us（被 AMZE 收購），投資者包括 Marc Benioff、Reid Hoffman 和 Naval Ravikant。欲了解更多信息，请訪問 constructive.io。
