sql - rails find_by sql 注入(inject)

Question

所以我知道 Rails 在像这样使用时有助于防止 sql 注入(inject):

Object.find(:first, :conditions=>["name=?",name])

但是，我似乎无法确定自动生成的 find_by 和 find_all_by 方法是否可以防止 sql 注入(inject)。

即:

Object.find_by_name(name)

因此这两个调用具有完全相同的结果。我的问题是，即使第二个更方便，我是否应该继续使用第一个，因为它提供了针对 sql 注入(inject)的保护，还是第二个也这样做？

Answer 1

是的，基于动态属性的查找器(find_by_* 系列)确实保护您的应用免受 sql 注入(inject)。