Eine eingecheckte master.key, ein einziges where("name = '#{params[:q]}'") oder fehlendes config.force_ssl reicht aus, um die Daten deiner Benutzer zu verlieren. Dieser Skill findet diese und neun weitere Rails-Fehler vor der Bereitstellung und erklärt, wie du jeden davon behebst.

Dein Agent führt einen Scanner für deine Rails-App aus: Konfigurationsdateien (secrets.yml, database.yml, environments/production.rb, Initializer), Controller, Modelle und ERB-Views. Er überspringt Kommentare, liest YAML-Anker und Zusammenführungen, verfolgt Anfragewerte (params, Cookies, Anfrageheader) über Variablen bis zum verwendenden Aufruf und prüft .gitignore, bevor er Schlüsseldateien meldet. Er kennt sichere Muster: Platzhalter und Hashes in where, sanitize_sql, permit mit einer Liste, link_to, t() und String-Literale mit html_safe. Er führt Ruby oder Rails niemals aus. Das Ergebnis ist BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einer sichereren Vorgehensweise. Geheimnisse werden niemals ausgegeben.

Was geprüft wird

BLOCKIEREND (vor der Auslieferung beheben)

• R01: ein literaler secret_key_base, Passwort, Token oder API-Schlüssel für Produktion oder Staging (YAML oder Ruby)

• R02: config/master.key oder eine credentials-.key-Datei, die git nicht ignoriert

• R03: Anfragewerte im SQL-Text für where, order, find_by_sql, execute und ähnliche Aufrufe

• R04: permit! oder to_unsafe_h (Massenzuweisung)

• R05: Anfragewerte in system, Backticks, eval, constantize, send oder render inline

• R06: consider_all_requests_local = true im Produktivbetrieb

PRÜFEN (vor der Veröffentlichung kontrollieren)

• R11: production.rb ohne config.force_ssl = true

• R12: übersprungener oder deaktivierter CSRF-Schutz

• R13: html_safe für Variablen, raw oder <%== in Views

• R14: redirect_to auf eine URL aus params, Cookies oder dem Referer

• R15: geleertes config.hosts oder CORS origins '*' mit Zugangsdaten

• R16: Sitzung oder Cookies mit deaktiviertem secure oder httponly

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelhandbuch mit Begründung und einer sichereren Vorgehensweise für jede Regel

• Eine beispielhafte Rails-App mit Risiken und eine sichere Variante sowie der tatsächliche Scannerbericht zum Beispiel mit Risiken

Grenzen

Der Scanner liest Code als Text und arbeitet nicht wie ein vollständiger Ruby-Parser: Werte werden innerhalb einer Datei verfolgt. Gems, der Inhalt von credentials.yml.enc, dateiübergreifende Datenflüsse auf Brakeman-Niveau und deine Serverkonfiguration werden nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 19 Dateien: SKILL.md, der Scanner unter scripts/ (4 Python-Dateien), references/rules.md (jede Regel mit Begründung und einer sichereren Vorgehensweise) und examples/ (12 Beispieldateien plus report.md, die tatsächliche Scannerausgabe zum Beispiel mit Risiken).

So funktioniert es: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke ihn in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/) und bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installationen. Sie lesen ausschließlich deine Dateien: kein Netzwerkzugriff, und es wird nichts irgendwohin gesendet.