用途：在需要从安全角度审查或加固 Rails 代码时使用该技能。核心原则是优先处理可被利用的问题而非代码风格，并假定任何不可信输入都可能被滥用。
主要能力：按固定顺序检查认证与授权边界、参数处理与敏感属性赋值、重定向与输出编码、文件处理与网络调用及后台任务输入、密钥与日志及运维暴露。报告强制以“Authentication & Authorization”作为首个发现章节，即使无问题也需显式写出“no issues found”，SQL 注入、XSS 等发现排在其后。
严重级别：High 包括缺失或可绕过的授权、SQL/shell/YAML/常量注入、不安全重定向或 SSRF、盲目信任文件名/类型/目标的文件上传、代码或日志中的密钥；Medium 包括弱参数过滤导致的越权批量赋值、未明确净化的用户 HTML、明文记录敏感数据、回调或后台任务中缺乏护栏的安全行为、脆弱的自定义认证逻辑。
使用方式：按审查顺序逐项检查，每条发现需用具体攻击场景确认可利用性后再报告，排除误报（如对开发者定义常量而非用户输入使用 html_safe）。输出章节固定为认证与授权、参数处理与批量赋值、查询安全、输出编码与重定向、密钥与日志及运维暴露；每条发现包含严重级别、攻击路径（输入→到达→影响）、受影响文件路径与行号、最小可信修复。
限制：资料未提供安装命令、平台支持、收费方式或具体运行步骤；示例仅涉及重定向与批量赋值，其他检查项需依据实际代码判断。