用途：Brakeman 是 Ruby on Rails 应用的静态安全分析工具，无需运行应用即可扫描源码，发现 SQL 注入、跨站脚本（XSS）、命令注入、批量赋值、CSRF、远程代码执行、路径遍历、不安全重定向、文件访问、认证问题、SSL 校验绕过、未维护依赖等 30 多种漏洞。
主要能力：为每条告警标注置信度（高/中/弱），可按置信度过滤；支持按检查项包含或排除；提供交互式忽略工具管理误报并保存到 config/brakeman.ignore；支持与基线报告对比，查看已修复与新增告警；支持 YAML 配置文件统一团队扫描设置。
安装：gem install brakeman；或在 Gemfile 的 development 组加入 gem 'brakeman', require: false；也可用 Docker：docker pull presidentbeef/brakeman。运行需 Ruby 3.0.0+，可分析 Ruby 2.0+ 语法，支持 Rails 2.3.x 至 8.x。
使用方式：在 Rails 根目录运行 brakeman，或指定路径 brakeman /path/to/app。输出格式有 text、html、tabs、json、junit、markdown、csv、codeclimate、sonar，例如 brakeman -o report.html -o report.json。按置信度过滤用 -w3（仅高）、-w2（高与中）、-w1（全部）。仅运行指定检查用 -t SQL,CrossSiteScripting，跳过用 -x DefaultRoutes,Redirect。交互式忽略用 brakeman -I，查看已忽略用 --show-ignored，对比基线用 brakeman --compare baseline.json。加速扫描用 --faster（等价 --skip-libs --no-branching，可能漏报），跳过文件用 --skip-files。自定义净化方法可用 --safe-methods 标记。默认发现告警或错误时返回非零退出码，可用 --no-exit-on-warn、--no-exit-on-error 调整。
适用场景：初始安全评估、代码审查报告、CI/CD 安全门禁、跟踪安全改进、减少误报噪音。
限制：静态分析可能产生误报，需人工核查；--faster 模式可能遗漏漏洞；忽略告警应添加说明；具体平台支持与收费信息资料未提供。