这款开源工具会评估在实时Postgres数据库中，哪些角色可以访问哪些行，帮助在CI中发现行级安全和权限错误，避免它们被代理和AI应用构建工具带入发布版本。
旧金山，11月6日，2026年 /PRNewswire/ -- Constructive（constructive.io）今天宣布公开发布Safegres，这是一款用于Postgres安全的开源验证工具。Constructive是一家为代理提供“默认安全”Postgres基础设施的公司。Safegres是Constructive推出的一款工具，可对实时PostgreSQL数据库中的行级安全（RLS）策略和授权进行只读审计，并报告哪些角色可以访问哪些行。它不会接触应用数据，也不会更改任何内容，因此团队可以将其运行在生产副本上，或在每次数据库变更时自动运行。
2026年10月30日，Supabase停止自动授予新表的访问权限。授权决定某个角色是否可以访问一张表，而RLS决定它能看到哪些行。独立研究显示，这两层都很重要。11月2日，汉堡安全公司Crissy Field和德国报纸《Handelsblatt》扫描了159,041个由Lovable构建的项目，这是一款AI应用构建工具。他们发现有24,664个网站的Postgres数据库正在向匿名访客提供记录，其中7,403个暴露了电子邮件地址。UpGuard发现，在约30万个域名中有16,326个数据库暴露了可读表；Shippable发现，在4,994个由Bolt.new构建的项目中，有25.6%的表对公众开放；CVE-2025-48757则涵盖了170个Lovable应用中303个暴露端点。这些都是AI工具可能大规模重复的配置错误，而授权和RLS检查可以发现这些问题。Databricks称，如今代理正在创建Neon上80%的数据库，Supabase则称其上70%的新数据库由代理创建，因此这些检查不能依赖某个人记得去运行。Safegres会在每次变更时、在任何Postgres上同时检查授权和RLS，为构建AI生成和“vibe-coded”应用的团队提供一种在发布前验证数据库安全的方法。
Safegres建立在Constructive开源的“Postgres版Babel”之上——这里的Babel是指那种让程序能够解析并重写JavaScript的工具。这个工具包可将SQL转换为程序可读取、检查和重写的结构化形式。该工具包基于PostgreSQL自身的语法，也就是数据库本身使用的同一套规则，并封装在Constructive近十年的工具之上，因此程序可以像数据库实际运行那样精确地检查和重写SQL。Constructive的Postgres解析器每月下载量超过900万次，其解析器工具已被用于1,100多个公开GitHub项目，包括Canva、Gel Data（已被Vercel收购）、Neon和Supabase团队的项目。
Constructive创始人兼首席执行官Dan Lynch表示：“我们的工具存在的目的，是让整类Postgres漏洞无法被发布出去，在它们变成CVE之前就捕捉到诸如缺失授权和开放RLS策略之类的错误。Safegres背后的同一开源解析器，已经运行在Canva和Supabase团队构建的工具中。随着AI构建应用中的安全事件不断增加，这些检查不能是可选项。它们应该进入开发流程，成为开发者每次改动代码时都会运行的自动化检查，并在每次提交和迁移中针对真实Postgres进行测试。”
Safegres的功能
- 两个独立评分——30多项安全检查和10多项性能检查，分别评分。
- 结果确定性——没有AI裁判。同一个数据库始终得到相同评分，每份报告都有指纹。
- 经过答案库测试——包含已知缺陷的样例数据库库，用于验证Safegres能找到该发现的问题，而不会误报不该发现的问题。
- 为CI/CD而设计——可在持续集成和持续交付（CI/CD）中运行，这些自动化检查会在开发者每次提出变更时执行，包括GitHub拉取请求，并且只标记该变更引入的问题。
- 适配团队常用技术栈——为Supabase、PostgREST、Hasura、Graphile和Constructive提供现成配置。Supabase团队可以用它审计自己的RLS策略和授权。
Constructive联合创始人兼基础设施负责人Anmol Yadav表示：“随着行业现在围绕软件工厂展开，每个工厂都需要在每个工位上进行质量控制。Dan和我多年来一直在朝这个方向努力，从可复制部署、声明式配置，到把基础设施本身当作抽象语法树（AST）来处理。Safegres把数据库安全放到同一条装配线上，因此无论变更是由人还是代理编写，它都能在CI/CD中随每次提交运行。”
面向编写Postgres的代理
样例数据库也可作为AI代理的测试：先给代理一个有缺陷的数据库，然后重新审计，查看它是否在修复问题的同时没有引入新的问题。
Lynch说：“我们注意到，当Safegres在CI和GitHub检查中运行时，能够看到结果的编码代理会捕捉到安全和性能评分的变化，并自行修复问题。这让验证器变成了构建评估和自我改进代理的反馈循环。”
可用性
Safegres采用MIT许可证开源，可与Supabase项目、任何PostgreSQL数据库以及常见CI流水线配合使用。
Safegres是Constructive更大开源工具包的一部分。pgpm将Postgres代码组织成包，pgsql-test在真实数据库上运行测试，而Safegres则检查每次变更中的安全和性能错误。Constructive表示，这些工具合在一起覆盖了完整开发流程，正如PostgreSQL.org所描述的那样。
了解更多信息，请访问constructive.io。
关于Constructive
Constructive构建面向代理的基础设施，将模块化开源Postgres与默认安全的数据库架构结合起来，面向AI时代设计。随着代理开始生成并运行应用，Constructive将信任、访问控制和数据完整性直接放入数据库本身。其平台覆盖整个应用栈，从数据库模式到API再到前端集成，采用编译器驱动的方法端到端生成并强制执行系统。这一统一模型以单一、可组合的基础取代了碎片化工具，为构建安全、可用于生产的应用提供支撑。Constructive的开源Postgres工具已被Canva、Gel Data（已被Vercel收购）、Neon和Supabase团队使用，下载量超过2.75亿次，并支持近5000万个数据库的运行。Constructive由Dan Lynch领导，他自2005年以来一直在构建网站生成器，并共同创办了两家被收购的公司Brandcast（被TIME收购）和Famo.us（被AMZE收购），投资者包括Marc Benioff、Reid Hoffman和Naval Ravikant。了解更多信息，请访问constructive.io。
