Rails SQL injection?

Question

W Rails, gdy chcę znaleźć przez użytkownika danej wartości i uniknąć SQL injection (uciec apostrof i tym podobne) można zrobić coś takiego:

Post.all(:conditions => ['title = ?', params[:title]]) 

wiem, że niebezpieczny sposób to zrobić (możliwe SQL injection) to:

Post.all(:conditions => "title = #{params[:title]}") 

Moje pytanie brzmi, czy następująca metoda zapobiega iniekcji SQL, czy nie?

Post.all(:conditions => {:title => params[:title]}) 

Answer 1

Tak, robi. Tylko ten drugi jest niebezpieczny.

Answer 2

+1 @fphilipe i @yuval Zaznacz to 5 min wideo z railscast i ten jeden z rails guide

Answer 3

One good reference z prowadnic RoR.