SafeSelect

SafeSelect

Los agentes pueden mirar. No pueden modificar.

Acceso de solo lectura a PostgreSQL y MongoDB para agentes de codificación.

Depura con contexto real de base de datos, sin exponer herramientas de escritura.
Política local y limitada al proyecto, incluso cuando tus credenciales existentes permiten escrituras.

Comenzar → · Demo · Agentes · Seguridad · Documentación · Sitio web

Lo que puedes hacer

• Inspeccionar PostgreSQL — descubre tablas, índices y planes de consulta; lee filas limitadas.
• Explorar MongoDB — descubre colecciones, infiere esquemas muestreados y ejecuta lecturas limitadas.
• Reutilizar tus conexiones — importa desde DBeaver, Docker Compose o MongoDB Compass.
• Conectar tu agente de codificación — instala una entrada MCP fijada al proyecto/entorno.
• Mantener el control — stdio local, política de proyecto, secretos externos y metadatos de auditoría.

[!IMPORTANT] El modo de solo lectura aplica a las herramientas de base de datos de SafeSelect, no al shell de un agente, a otros servidores MCP ni a credenciales directas. Comienza con datos de desarrollo o una réplica saneada y usa usuarios de base de datos con privilegios mínimos. Revisa el modelo de amenazas y límites antes de conectar datos sensibles.

Vélo en acción

Incorporación completa: de Homebrew a un agente protegido

Instala SafeSelect desde Homebrew, importa una conexión DBeaver respaldada por SSH, mantén la contraseña en el Llavero de macOS, instala la integración de OpenCode y observa al agente leer un pedido pagado mientras su intento de DELETE es rechazado. Los clips enfocados del agente y del backend permanecen en la galería de demos completa.

Inicio rápido

Ejecuta la configuración desde la raíz de tu repositorio. Necesitarás una conexión PostgreSQL o MongoDB y un runtime Java 17+ para los comandos de base de datos.

1. Instalar

En macOS con Homebrew:

brew install antonillos/tap/safeselect

curl -fsSL https://raw.githubusercontent.com/antonillos/safeselect/main/packaging/install/install-release.sh | sh

asdf plugin add safeselect https://github.com/antonillos/asdf-safeselect.git
asdf install safeselect latest
SAFESELECT_VERSION="$(asdf latest safeselect | sed -n '$p')"
asdf set -u safeselect "${SAFESELECT_VERSION}"
asdf reshim safeselect "${SAFESELECT_VERSION}"

SafeSelect usa cualquier runtime Java 17+ disponible en lugar de requerir una fórmula específica del gestor de paquetes. Si Java falta o es demasiado antiguo, instala o selecciona un runtime Java 17+ antes de ejecutar comandos de base de datos. En macOS con Homebrew, puedes instalar uno con brew install openjdk@17.

2. Importar una fuente de conexión

Elige la fuente que ya usas; no necesitas ejecutar las tres:

Usa tu exportación real o el directorio de Compass. Sigue los siguientes pasos del importador para la configuración del controlador y la contraseña antes de continuar. Mantén los secretos fuera de los archivos del proyecto. Para un recorrido respaldado por SSH, consulta DBeaver → Codex.

3. Verificar y conectar tu agente

# Check configured environments; this can open SSH tunnels and contact databases.
safeselect check

# Install for OpenCode (replace with codex for OpenAI Codex).
safeselect agent install opencode

# Inspect the installed MCP entry and its configuration location.
safeselect agent status

¿Múltiples entornos? Usa safeselect check --environment <name> para evitar verificar bases de datos no relacionadas, y añade --environment <name> a agent install para seleccionar el destino previsto. La instalación infiere el nombre solo cuando hay un entorno.

Abre o reinicia tu agente y aprueba el servidor MCP si se te solicita. La instalación usa el ámbito de usuario por defecto; consulta agentes compatibles y la guía de configuración del cliente para el ámbito de proyecto y los pasos específicos del cliente.

4. Probar una primera lectura

Pregunta a tu agente:

Usa SafeSelect para identificar el backend conectado y descubrir sus tablas o colecciones disponibles. Describe una, luego detente antes de consultar el contenido de filas o documentos. Sigue las siguientes sugerencias solo dentro de ese ámbito exclusivo de descubrimiento.

El éxito se ve así: el agente llama a database_info, usa las herramientas de descubrimiento de esquemas correspondientes e informa la estructura que encontró. No se necesitan herramientas de escritura ni contraseñas de base de datos en la conversación.

¿Atascado? Ejecuta safeselect doctor --environment <name> para diagnósticos concisos (esto puede contactar la base de datos), luego sigue el siguiente paso indicado. No relajes la política para superar un rechazo. Consulta recuperación del agente.

{
  "mcpServers": {
    "safeselect-myapp-testing": {
      "command": "safeselect",
      "args": ["serve", "--project", "/path/to/myapp", "--environment", "testing"]
    }
  }
}

Documentación

Dónde ayuda

• Depurar una aplicación con datos realistas sin exponer herramientas de mutación.
• Permitir que un agente inspeccione esquemas, índices, planes de consulta y filas limitadas durante el desarrollo.
• Explorar colecciones de MongoDB mediante lecturas limitadas e inferencia de esquemas muestreados.
• Reutilizar conexiones existentes de DBeaver, Docker Compose o MongoDB Compass.
• Dar a los agentes de codificación contexto de base de datos mientras mantienes política, límites, secretos y auditoría bajo tu control.

¿Por qué SafeSelect?

SafeSelect es intencionalmente más limitado que los servidores MCP de bases de datos de propósito general. No es un constructor de herramientas, un banco de trabajo SQL ni una puerta de enlace remota de bases de datos. Es un límite de seguridad local para agentes que necesitan visibilidad de la base de datos, no poder sobre ella.

¿Qué lo hace diferente?

La combinación importa: inspección de PostgreSQL y MongoDB, una superficie fija de lectura de base de datos, stdio local, política de proyecto, importación de conexiones y evidencia de seguridad reproducible. Los modos de solo lectura y los controles en capas también existen en otros proyectos; no son exclusivos de SafeSelect.

Consulta la comparación fechada para DBHub, MongoDB MCP Server, Postgres MCP Pro y SchemaBrain, incluido cuándo cada uno es una mejor opción.

Los agentes pueden mirar, pero no pueden modificar a través de las herramientas de base de datos de SafeSelect. Este límite no cubre un shell, otro servidor MCP ni credenciales directas también disponibles para el agente. Usa usuarios de base de datos con privilegios mínimos y revisa el modelo de amenazas y límites.

Soporte de backends

Arquitectura

El agente habla con SafeSelect a través de MCP stdio. SafeSelect aplica la política en Rust, almacena secretos fuera de los archivos del proyecto y llega a las bases de datos mediante un sidecar Java integrado: JDBC para backends SQL y el controlador MongoDB para MongoDB. El canal de Rust a Java es JSON-lines sobre stdin/stdout: sin sockets, sin puertos abiertos.

Contexto MCP guiado

Los clientes que admiten prompts MCP pueden invocar read_only_database_debugging para una lista de verificación de investigación segura. Los clientes también pueden leer safeselect://guide/read-only-database-debugging para el mismo flujo de trabajo estático y notas sobre el límite. Ninguna de estas capacidades expone datos de base de datos, credenciales ni acceso de escritura; usa las herramientas de base de datos a continuación para descubrimiento y lecturas limitadas.

Flujo de trabajo del agente

Los agentes deben usar SafeSelect en este orden:

1. database_info
2. list_tables y luego describe_table; inspecciona list_table_indexes o estadísticas limitadas cuando sea útil para SQL
3. list_databases, list_collections y luego discover_document_schema para NoSQL
4. select / explain, o la herramienta de lectura MongoDB limitada que coincida con la tarea
5. check, connect o reconnect cuando la conectividad esté desactualizada

Los agentes deben descubrir la estructura de relaciones o colecciones antes de consultar datos desconocidos y usar el next_suggestion de cada respuesta de descubrimiento en lugar de adivinar nombres de columnas o campos. Las descripciones SQL son metadatos de catálogo; los esquemas MongoDB se infieren de una muestra limitada y no exhaustiva.

Los documentos de consulta MongoDB deben permanecer como valores JSON anidados completos. Los clientes que aplanan argumentos de herramientas anidados pueden pasar filter, projection y sort como cadenas de objetos codificadas en JSON y pipeline como una cadena de matriz codificada en JSON. redact_fields también acepta una matriz de cadenas codificada en JSON. Las claves aplanadas se rechazan para que un filtro o redacción perdido nunca pueda convertirse en un respaldo menos restringido.

El JavaScript del lado del servidor de MongoDB nunca está disponible: $where, $function y $accumulator se rechazan recursivamente en filtros, proyecciones, ordenamientos y canalizaciones de agregación antes de que el controlador MongoDB los reciba. Cuando se rechazan, reconstruye la solicitud con operadores MQL declarativos; SafeSelect no tiene ninguna configuración que habilite JavaScript.

Las respuestas de consulta incluyen row_count, byte_count, elapsed_ms y un valor elapsed legible por humanos para que los agentes puedan razonar sobre el tamaño del resultado y la latencia.

Cada éxito y error de MCP incluye un next_suggestion contextual. Los agentes deben seguir esa única acción segura, nunca repetir ciegamente una solicitud no válida y detenerse cuando la sugerencia sea terminal. Para clientes que solo muestran un resumen de error de MCP, SafeSelect también incluye la siguiente sugerencia confiable en ese resumen sin exponer detalles derivados de la base de datos.

Modelo de seguridad

• Fail closed: las violaciones de seguridad terminan el proceso MCP.
• Solo lectura: SQL permite SELECT, EXPLAIN y WITH; los backends NoSQL permiten descubrimiento y lecturas de documentos de solo lectura.
• Sin JavaScript en el servidor: $where, $function y $accumulator de MongoDB se rechazan en Rust y nuevamente en el sidecar de Java.
• Acceso limitado: se pueden permitir o denegar esquemas, relaciones, bases de datos y colecciones.
• Límites estrictos: se aplican límites de filas, bytes de resultados y tiempos de espera; los comandos de lectura de MongoDB reciben el mismo tiempo de espera que maxTimeMS.
• Aislamiento de secretos: las contraseñas viven en el Llavero de macOS o en variables de entorno, nunca en la configuración del proyecto.
• Verificación de controladores: los controladores JDBC se verifican mediante SHA-256 antes de su uso.
• Rastro de auditoría: el texto de la consulta se cifra antes de registrarse; la sesión actual expone metadatos de auditoría limitados a través de audit_status y audit_recent.

Límites deliberados

• SafeSelect no expone escrituras en bases de datos, migraciones, administración ni ejecución arbitraria de comandos.
• PostgreSQL y MongoDB son los backends compatibles hoy; una amplia cantidad de conectores no es el objetivo.
• El transporte MCP es stdio local. SafeSelect no es una puerta de enlace remota de bases de datos.
• El descubrimiento de esquemas de MongoDB se muestrea y limita, no es una garantía exhaustiva de esquema.
• SafeSelect complementa el privilegio mínimo nativo de la base de datos; no lo reemplaza.

Herramientas MCP

get_maintenance_diagnostics admite PostgreSQL 15, 16, 17 y 18.

Cuando no existe un directorio .safeselect/, safeselect serve busca servicios PostgreSQL de Compose. Si los encuentra, entra automáticamente en modo de configuración inicial: los importa, escribe la configuración del proyecto e inicia un servidor MCP solo de configuración. De lo contrario, imprime instrucciones de configuración y sale. Una configuración existente pero vacía o inválida se rechaza, no se reemplaza por la configuración inicial.

[!IMPORTANT] El modo de configuración inicial no expone herramientas de consulta. Los agentes pueden ayudar a importar y validar la configuración antes de que las herramientas de inspección de bases de datos estén disponibles.

Esenciales de CLI

Galería visual de comandos

La CLI es más fácil de escanear por tarea que como una lista larga. La galería de comandos web usa las mismas capturas de demostración sintética. query se mantiene separado porque es un flujo de trabajo SQL directo; los agentes normalmente deberían descubrir el esquema primero a través de las herramientas MCP.

safeselect import-dbeaver ~/Downloads/connections.zip

safeselect import-compose --path .

safeselect import-compass --path ~/.config/MongoDB Compass

safeselect config show --project demo --environment postgres

safeselect driver list

safeselect agent detect

safeselect check

safeselect doctor

safeselect posture --strict

safeselect serve

safeselect connect

safeselect disconnect

safeselect reconnect

safeselect query --sql "SELECT order_id, status, subtotal FROM public.demo_orders WHERE status = 'paid' LIMIT 3"

list_tables({"schema":"public"})

describe_table({"schema":"public","table":"demo_orders"})

get_maintenance_diagnostics({"schema":"public"})

list_databases()

list_collections({"database":"safeselect_demo"})

discover_document_schema({"database":"safeselect_demo","collection":"orders","sample_size":5})

find_documents({"database":"safeselect_demo","collection":"orders","filter":{"status":"paid"},"limit":3})

Usa safeselect --help o un --help específico de comando para la CLI completa.

La desinstalación verifica tanto las ubicaciones de binarios del instalador de lanzamiento como las de Cargo. Las importaciones de MongoDB Compass admiten conexiones mongodb+srv:// con túnel SSH resolviendo el destino SRV y reescribiendo el endpoint local con las opciones TLS y de conexión directa requeridas.

Configuración

El estado global vive en ~/.config/safeselect/ de forma predeterminada. La política del proyecto vive en .safeselect/ en la raíz del repositorio:

<repo-root>/
└── .safeselect/
    ├── project.toml
    └── environments/
        └── <env>.toml

SafeSelect sube desde el directorio actual para encontrar .safeselect/. Usa --project <path> cuando un agente o script deba apuntar a un repositorio específico.

Convención antes de la configuración

Desde el interior de un repositorio configurado, los comandos infieren el proyecto a partir del directorio .safeselect/ más cercano e infieren el entorno cuando existe exactamente un archivo environments/*.toml. Por ejemplo, safeselect serve, safeselect check, safeselect query --sql "SELECT 1" y safeselect config show no necesitan indicadores de proyecto o entorno en un proyecto de un solo entorno. --project y --environment siguen disponibles para scripts, otros directorios de trabajo y selección deliberada. Si existen múltiples entornos, los comandos que actúan sobre uno fallan en lugar de adivinar y te indican que pases --environment <name>.

Los valores predeterminados difieren según la operación:

• serve, query, connect, disconnect, config show y los comandos de contraseña requieren un entorno explícito o inferido de forma única. Sin entornos, fallan; serve tiene el comportamiento separado de primera ejecución descrito anteriormente.
• check, doctor, posture, reconnect y config validate inspeccionan o procesan todos los entornos cuando se omite el indicador. Las comprobaciones no son sin conexión: pueden resolver secretos, establecer túneles SSH y contactar bases de datos. Usa --environment <name> para evitar tocar entornos no relacionados o de producción.
• query solo admite entornos JDBC y aún necesita SQL a través de --sql o stdin (el stdin interactivo espera EOF). Seleccionar un entorno MongoDB no lo convierte en un comando de consulta MongoDB.
• CLI connect y disconnect operan en un sidecar JDBC temporal nuevo y lo cierran antes de salir. No controlan una sesión MCP ya en ejecución; usa las herramientas de conexión MCP de esa sesión en su lugar.
• Los comandos de contraseña modifican el Keychain/configuración local, no la contraseña de la base de datos en sí. config set-ssh-password cambia la autenticación SSH a contraseña y borra la referencia de archivo de identidad configurada.

Las entradas MCP generadas fijan deliberadamente tanto el proyecto como el entorno. Mantén esos argumentos en la configuración del cliente y en scripts desatendidos: la inferencia es una conveniencia de CLI, no un entorno predeterminado persistente.

Agentes compatibles

SafeSelect nunca recurre silenciosamente a un alcance más amplio. En particular, --local para Windsurf falla con una corrección clara porque Windsurf no documenta una configuración MCP con alcance de proyecto.

Compilar desde el código fuente

# Installs makevn through Homebrew or asdf only when it is missing.
./install.sh --install-makevn
"$HOME/.local/bin/safeselect" --version

Requisitos: Rust 1.85+ y Java 17+. El arranque requiere Homebrew o asdf; de lo contrario, instala makevn primero. sshpass es opcional para túneles SSH basados en contraseña. Agrega ~/.local/bin a tu PATH antes de invocar safeselect sin su ruta completa.

Documentación

• Guía de instalación
• Integración con agentes de IA
• Revisión de código Codex bajo demanda
• Modelo de seguridad
• Prueba de seguridad
• Suite de pruebas de seguridad
• Política de seguridad
• Distribución
• Registro de cambios

Las notas de versión se generan a partir de CHANGELOG.md.

Ecosistema

Licencia

MIT - consulta LICENSE.