ruby-on-rails - 正则表达式攻击向量？

Question

在 Ruby 中如何将变量输入“参数化”到正则表达式中？例如，我正在执行以下操作:

q = params[:q]
all_values.collect { | col | [col.name] if col.name =~ /(\W|^)#{q}/i }.compact

由于它 (#{q}) 是一个来自不受信任来源(查询字符串)的变量，我不得不假设它可能是一个攻击媒介。这里有什么最佳做法吗？

Answer 1

尝试 Regexp.escape :

>> Regexp.escape('foo\bar\baz$+')
=> "foo\\\\bar\\\\baz\\$\\+"

所以你的代码看起来像这样:

q = params[:q]
re = Regexp.escape(q)
all_values.collect { | col | [col.name] if col.name =~ /(\W|^)#{re}/i }.compact