Добавленного в репозиторий master.key, одного where("name = '#{params[:q]}'") или отсутствия config.force_ssl достаточно, чтобы потерять данные пользователей. Этот навык выявляет эти и ещё девять ошибок Rails до развёртывания и объясняет, как исправить каждую из них.

Ваш агент запускает сканер для приложения Rails: файлов конфигурации (secrets.yml, database.yml, environments/production.rb, инициализаторов), контроллеров, моделей и представлений ERB. Сканер пропускает комментарии, читает якоря и слияния YAML, отслеживает значения из запроса (params, cookie, заголовки запроса) через переменные до использующего их вызова и проверяет .gitignore, прежде чем сообщать о файлах ключей. Он распознаёт безопасные подходы: заполнители и хеши в where, sanitize_sql, permit со списком, link_to, t() и строковые литералы с html_safe. Он никогда не запускает Ruby или Rails. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного решения. Секреты никогда не выводятся.

Что проверяется

БЛОКИРОВКА (исправить до выпуска)

• R01: secret_key_base, пароль, токен или ключ API, заданный литералом для рабочей или предрелизной среды (YAML или Ruby)

• R02: config/master.key или файл credentials .key, который не игнорируется git

• R03: значения из запроса вставляются в текст SQL для where, order, find_by_sql, execute и аналогичных вызовов

• R04: permit! или to_unsafe_h (массовое присваивание)

• R05: значения из запроса в system, обратных кавычках, eval, constantize, send или render inline

• R06: consider_all_requests_local = true в рабочей среде

ПРОВЕРКА (проверить до выпуска)

• R11: production.rb без config.force_ssl = true

• R12: CSRF-защита пропускается или отключена

• R13: html_safe для переменных, raw или <%== в представлениях

• R14: redirect_to на URL из params, cookie или referer

• R15: очищенный config.hosts либо CORS origins '*' с учётными данными

• R16: сеанс или cookie с отключёнными secure или httponly

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с объяснением причин и более безопасным решением для каждого правила

• Пример приложения Rails с рисками и безопасный вариант, а также реальный отчёт сканера по примеру с рисками

Ограничения

Сканер читает код как текст, а не как полноценный парсер Ruby: значения отслеживаются в пределах одного файла. Гемы, содержимое credentials.yml.enc, потоки данных между файлами на уровне Brakeman и конфигурация сервера не проверяются. Статус NOT FLAGGED не даёт гарантий.

Содержимое

Один ZIP-архив с 19 файлами: SKILL.md, сканер в scripts/ (4 файла Python), references/rules.md (каждое правило с объяснением причин и более безопасным решением) и examples/ (12 файлов примеров плюс report.md, реальный отчёт сканера по примеру с рисками).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте её в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить проект. Скрипты также можно запускать отдельно с Python 3.9 или новее, ничего дополнительно устанавливать не нужно. Они только читают ваши файлы: не обращаются к сети и ничего никуда не отправляют.