ruby-on-rails-4 - Rails 4 - 在 SQL 查询中使用 LIKE 运算符防止 SQL 注入(inject)

Question

我想对我的 Rails 4 应用程序使用以下查询，但我担心 SQL 注入(inject)攻击:

@persons = People.where("persons.name LIKE ?", "%#{params[:search]}%")

有人可以告诉我写上述语句的安全方法吗？我尝试了以下方法，但不确定它是否防 SQL 注入(inject):

search = "%" + params[:search] + "%"
@persons = People.where("persons.name LIKE ?", search)

谢谢!

Answer 1

正如紫舍所说，你的例子很好。

每当您对方法使用问号并将另一个参数作为搜索查询传递时，它都会清理您的查询字符串。

当您手动执行字符串连接来创建查询时，这是很危险的，例如:

Project.where("name = '#{params[:name]}'")

Click here for more information