用途：对 Rails 应用进行代码级安全审计，聚焦可利用漏洞而非代码风格，把不受信任输入视为潜在滥用对象。覆盖认证与授权边界、参数处理与敏感属性赋值、重定向与输出编码、文件处理与网络调用、密钥与日志暴露等五个方面。
主要能力：按固定顺序检查权限、params 白名单、SQL 参数化、重定向约束、html_safe/raw 使用、凭据加密与文件校验。发现按 High/Medium 分级，需附带攻击路径（输入→到达→影响）、受影响文件与行号、最小修复建议。输出第一段必须是 Authentication & Authorization（无问题也要写明未发现问题）。
硬性限制：绝不逐字复现凭据、令牌、API Key 或密码，只报告文件路径与行号；可利用性验证必须使用 <REDACTED>、<TOKEN> 等占位符。若扫描返回密钥值，应停止并只报告位置。
使用方式：先运行搜索与目录列表工具定位工作区源码（控制器、模型、配置文件），对实际文件做审查；仅当工作区为空时才返回清单并说明未提供源码。可按需加载 PITFALLS.md，或与 code-review、review-architecture、review-migration 等技能串联。输出默认使用英文，除非另有要求。示例中给出不安全重定向与 permit! 的修复方向。
适用场景与限制：适用于 Rails 应用安全审计；需有可访问源码，否则只能给出通用占位路径；不提供价格或其他事实未在资料中说明的信息。