Security Check 是一项面向 Rails 应用的代码级安全审计技能，归属 midudev/autoskills 技能集合。其用途是在审计 Rails 应用时识别 XSS、CSRF、SQL 注入、IDOR、敏感信息泄露与认证绕过等安全问题。
主要能力与检查范围：认证方面检查每个敏感操作是否都有权限控制；参数方面禁止 permit!，只允许白名单属性；查询要求参数化，禁止 SQL 字符串插值；重定向限制为相对路径或白名单；输出禁止对用户内容使用 html_safe/raw；敏感信息要求加密凭据，不得出现在代码或日志中；文件处理需校验文件名、内容类型与目标位置。
使用方式：技能要求先使用搜索与目录列举工具检查工作区中的实际源文件（控制器、模型、配置文件等），再进行代码级审查；仅当工作区完全为空时，才可返回检查清单并说明未提供源文件。审查按固定顺序执行并按规定顺序输出：认证与授权边界、参数处理与敏感属性赋值、重定向与渲染及输出编码、文件处理与网络调用及后台任务输入、敏感信息与日志及运维暴露。每个发现需确认具备具体攻击场景才可报告，并排除误报。输出必须以“Authentication & Authorization”为第一节，即使无问题也要写“no issues found”。每个发现包含严重级别（仅 High 或 Medium）、攻击路径（输入→触达→影响）、受影响文件路径与行号以及最小可信修复。可利用性验证作为“Verification Steps & Quality Gates”内的子章节，使用具体示例漏洞和利用请求或载荷，不得作为顶层章节。无源码分析时使用 SRC_DIR/ 等通用占位符。输出语言默认为英文，除非明确要求其他语言。
凭据处理为硬性规则：绝不逐字复现凭据、令牌、API 密钥、密码或秘密，只按文件路径和行号标记；涉及敏感信息的发现只报告位置，不引用值本身；扫描返回秘密值时立即停止并报告位置。示例中展示了不安全的重定向与批量赋值写法及其安全替代写法。
扩展资源按需加载：PITFALLS.md 提供常见安全陷阱与误报示例；可与 code-review、review-architecture、review-migration 以及 ruby-core-skills 的 security-review-process 等技能链式配合。
适用场景：对 Rails 代码库进行安全审计、安全代码评审以及结合架构评审处理安全根因问题。限制：资料未提供安装方式、运行命令、收费模式、价格、支持平台或效果保证等信息。