mysql - ruby on rails sql 注入(inject) LIKE '%#{argument}% 易受攻击？

Question

我有一个关于 ruby​​ on rails sql 注入(inject)漏洞的问题。假设我有这样的方法:

def self.search(args)
 where_clause = `items`.`name` LIKE '%#{args}%'
 results = Item::where(where_clause)
 return results
end

其中 args 是从搜索框传入的值。这容易受到攻击吗？我最初的想法是这很容易受到攻击，但是，在尝试了一些查询之后，我无法做到。

LIKE '%%' 是否有什么特别之处使其不受攻击？

谢谢!

Answer 1

为了安全起见，我通常这样做:

Item.where("name LIKE ?", "%#{args}%")