sql - Rails 搜索数组列和 SQL 注入(inject)

Question

我有一个快速的问题。此代码是否易受 SQL 注入(inject)攻击:

ActiveAdmin::SurveyPack.where("survey_schemas @> '{#{survey_schema}}'")

survey_schemas 列是我的 Rails 应用程序中的一个数组列。

Answer 1

请简单点。

    ActiveAdmin::SurveyPack.where("survey_schemas @> ARRAY[?]", survey_schema)

或

    ActiveAdmin::SurveyPack.where("survey_schemas = ARRAY[?]", survey_schema)

快乐编码。