避免sql注入ActiveRecord命令

Question

我试图避免在订购时进行sql注入，但我也需要确保NULLS是最后一个。

query = books.order(@vals['order'] + ' NULLS LAST') 

但是，如果我采取@vals [“顺序”]作为API参数我易受SQL注入。有没有更好的方式来形成命令来避免这种情况？

Answer 1

如果这实际上只是一个API，那么我只会为您的API使用者提供某些类型的订购，并在您的代码中预先捕获订单条件（例如，白名单方法）。

if @evals['order'] == 'title' 
    ordering = 'title' 
elsif @evals['order'] == 'published' 
    ordering = 'created_at' 
else 
    ordering = 'id' 
end 

query = books.order(ordering + ' NULLS LAST') 

这不是最漂亮的代码，但至少你会安全无需解析参数。