ruby-on-rails - Rails SQL注入(inject)？

Question

在 Rails 中，当我想通过用户给定的值查找并避免 SQL 注入(inject)(转义撇号等)时，我可以执行以下操作:

Post.all(:conditions => ['title = ?', params[:title]])

我知道这样做的不安全方式(可能的 SQL 注入(inject))是这样的:

Post.all(:conditions => "title = #{params[:title]}")

我的问题是，以下方法是否可以防止 SQL 注入(inject)？

Post.all(:conditions => {:title => params[:title]})

Answer 1

是的，它确实。只有第二个是危险的。